QQ最近在其官方網(wǎng)站W(wǎng)W.W.QQ.COM 上推出了QQ2005 beta3版，吸引了很多用戶試用。這本來是件好事情，卻爆出了這個(gè)版本的QQ可能含有病毒的消息。
為了證實(shí)這個(gè)消息的真實(shí)性，我趕緊到ww.w.qq.com上下載了一個(gè)QQ2005 beta3，進(jìn)行了詳細(xì)而認(rèn)真的測(cè)試。以下是測(cè)試結(jié)果：
1、這個(gè)版本的QQ安裝時(shí)，生成4個(gè)額外的病毒文件：這個(gè)版本的QQ安裝完畢后，除了生成QQ正常使用的文件外，的確會(huì)在系統(tǒng)文件夾c:\windows\downlo~1下生成多余的4個(gè)文件，其中2個(gè)為dll動(dòng)態(tài)庫文件，1個(gè)為exe可執(zhí)行文件，一個(gè)為dat數(shù)據(jù)文件。這4個(gè)文件互相配合，形成了一套功能完備的病毒程序（病毒行為詳見后面的分析）
2、病毒文件會(huì)在系統(tǒng)注冊(cè)表中增加一個(gè)獨(dú)立于QQ啟動(dòng)項(xiàng)之外的啟動(dòng)項(xiàng)：這4個(gè)文件被創(chuàng)建后，會(huì)在系統(tǒng)注冊(cè)表中增加一個(gè)名為“_TBHTray”的啟動(dòng)項(xiàng)，路徑指向剛才所發(fā)現(xiàn)的2個(gè)dll文件中的一個(gè)，以保證這些文件能在系統(tǒng)啟動(dòng)時(shí)被自動(dòng)加載。因此，他們的自我啟動(dòng)，在此時(shí)與QQ是否存在無關(guān)了
3、病毒文件采用多種方法實(shí)現(xiàn)自我隱藏：不知出于何種目的，這4個(gè)文件在自我隱藏方面可謂煞費(fèi)苦心，集多個(gè)典型病毒的隱藏方法于一身，分別是：
 文件名隨機(jī)生成，即便在同一臺(tái)電腦上，每次安裝QQ2005 BETA3，這4個(gè)文件的文件名都不相同，使得你很難找到
 調(diào)用系統(tǒng)函數(shù)，將自身的文件屬性設(shè)置為系統(tǒng)級(jí)，使得在windows窗口模式下根本無法看到這些病毒文件，必須使用dos命令行模式才可看到
 無論你何時(shí)安裝，它會(huì)自動(dòng)將dll文件的生成時(shí)間設(shè)置為2005-9-8 16:38，這是QQ 2005beta3證實(shí)發(fā)布之前的日期，使你很容易忽略和QQ 2005 BETA3的聯(lián)系
4、該病毒使用鉤子技術(shù)實(shí)現(xiàn)了自我保護(hù)機(jī)制，使用戶根本無法手工刪除
該病毒在系統(tǒng)的最底層，掛了一個(gè)Debug鉤子，這個(gè)鉤子隨著系統(tǒng)的啟動(dòng)而啟動(dòng)，即使在安全模式下也會(huì)運(yùn)行，保證從最底層獲得系統(tǒng)的控制權(quán)
此外，該病毒還另外 掛了CBT鉤子和鍵盤監(jiān)視鉤子，這兩個(gè)鉤子和前面提到的debug鉤子相互配合，互相保護(hù)，不斷刷新系統(tǒng)注冊(cè)表及自身文件列表，一旦發(fā)現(xiàn)注冊(cè)表項(xiàng)或文件項(xiàng)被刪除，即會(huì)自動(dòng)重新創(chuàng)建
這三個(gè)鉤子均無法手工停止，即便殺死QQ所有的進(jìn)程后依然在工作。
5、該病毒具備自我升級(jí)機(jī)制，會(huì)繞開防火墻隨時(shí)從互聯(lián)網(wǎng)上升級(jí)到更新的版本
該病毒的exe文件負(fù)責(zé)客戶端與互聯(lián)網(wǎng)服務(wù)器的通信與升級(jí)，此exe文件在用戶每次打開IE時(shí)都會(huì)向互聯(lián)網(wǎng)服務(wù)器發(fā)回信息，并根據(jù)服務(wù)器的指令決定是否升級(jí)。由于該程序利用了IE訪問網(wǎng)絡(luò)的80端口，因此會(huì)繞開絕大多數(shù)的網(wǎng)絡(luò)防火墻，使得升級(jí)在不知不覺在進(jìn)行！
6、該病毒記錄了用戶上網(wǎng)所一舉一動(dòng)，并很有可能將這些內(nèi)容打包發(fā)給了它的服務(wù)器
由于該病毒在系統(tǒng)中掛了一個(gè)鍵盤鉤子和CBT鉤子，它截獲并記錄用戶使用電腦的一舉一動(dòng)，包括訪問的網(wǎng)址，地址欄輸入的內(nèi)容，搜索詞，用戶名及密碼等。同時(shí)我還發(fā)現(xiàn)，在我打開IE 時(shí)，這個(gè)病毒均會(huì)向服務(wù)器會(huì)傳一大堆的數(shù)據(jù)，由于這些數(shù)據(jù)已經(jīng)加密，我無法獲知究竟是什么內(nèi)容，但根據(jù)數(shù)據(jù)排列和信息量來看，極有可能是用戶上網(wǎng)的訪問記錄等極其敏感的隱私信息！
7、該病毒在QQ卸載后依然會(huì)存在在用戶的機(jī)器中，無法徹底清除
如果將QQ 2005 BETA3卸載掉，這個(gè)時(shí)候，病毒文件依然會(huì)保留在機(jī)器里，并不被卸載掉。如果重新安裝一遍，由于病毒的文件名是隨機(jī)生成的，則又會(huì)在系統(tǒng)中增加一整套病毒文件。往復(fù)幾次，則硬盤中的病毒文件數(shù)量將觸目驚心！這些病毒文件互相嵌套，關(guān)系錯(cuò)綜復(fù)雜，使得用戶根本無法分清彼此間的關(guān)系，根本無法將該病毒徹底清除干凈！（如圖）
綜上所述，此程序已經(jīng)具備了病毒所有的特性：自我隱藏、自我變形、自我保護(hù)、快速傳播、截獲用戶輸入、悄悄升級(jí)等，因此，我可以得出頗為肯定的結(jié)論：
在QQ官方網(wǎng)站w.ww.qq.com推出的qq 2005 beta3內(nèi)嵌了一個(gè)地地道道的病毒程序！
由于分析工作沒有全部完成，加之該病毒正處在潛伏期，目前還不是很清楚該病毒程序所做的一切行為，但目前已經(jīng)能對(duì)該病毒的危害得出一定的結(jié)論了。該病毒會(huì)產(chǎn)生的危害有：
1、降低系統(tǒng)穩(wěn)定性，導(dǎo)致部分用戶電腦崩潰
由于該病毒中濫用文件變名、Debug鉤子、自我保護(hù)等技術(shù)，使得系統(tǒng)穩(wěn)定性大受影響。測(cè)試期間，測(cè)試機(jī)多次停止響應(yīng)。如果使用工具強(qiáng)制刪除掉該病毒其中的某個(gè)dll文件，由于該病毒自我保護(hù)機(jī)制的不成熟，甚至?xí)沟脝?dòng)無法啟動(dòng)。
由于QQ是全國裝機(jī)量最大的軟件，覆蓋在上千萬臺(tái)電腦上，只要以上問題出現(xiàn)概率大于1%（事實(shí)上我測(cè)試時(shí)接近10%），必將導(dǎo)致數(shù)十萬的用戶無法繼續(xù)使用電腦，危害相當(dāng)嚴(yán)重??！
2、急劇降低系統(tǒng)性能
由于該病毒在不斷的刷新注冊(cè)表、文件列表，同時(shí)利用鉤子截獲用戶的所有輸入，因此使得系統(tǒng)性能極具下降，這種下降在打開IE時(shí)表現(xiàn)得尤為明顯。在未安裝此病毒的測(cè)試機(jī)上，連續(xù)打開10個(gè)IE后，再打開IE窗口的速度與沒有明顯減慢；在已安裝此病毒的測(cè)試機(jī)上，打開第一個(gè)IE窗口時(shí)就明顯感覺到頓挫感，在打開第10個(gè)窗口時(shí)，常需數(shù)秒以上，最長時(shí)甚至長達(dá)1分鐘，無法忍受！！
在訪問新浪、搜狐等大型網(wǎng)站時(shí)，也能明顯感覺到打開網(wǎng)頁的速度明顯降低，常常點(diǎn)擊鏈接后機(jī)器失去響應(yīng)數(shù)秒。
3、竊取用戶隱私
該病毒截獲了用戶所有的輸入，因此安裝了該病毒的機(jī)器即無隱私可言，上網(wǎng)的網(wǎng)址、輸入的用戶名、密碼、搜索用過的搜索詞均會(huì)被該病毒截獲。最嚴(yán)重的，如果用戶在機(jī)器上使用過銀行的網(wǎng)上支付系統(tǒng)，則存在極大的風(fēng)險(xiǎn)丟失卡號(hào)及密碼，被偷盜錢財(cái)。
4、有可能在互聯(lián)網(wǎng)上引發(fā)又一次輪蠕蟲沖擊波，導(dǎo)致互聯(lián)網(wǎng)癱瘓
由于附著在QQ上，所以該程序會(huì)以每天近百萬的速度散播在互聯(lián)網(wǎng)上，不需要太久，它將在數(shù)千萬臺(tái)電腦上潛伏。如果該病毒象其它病毒一樣，集中在一天內(nèi)爆發(fā)，那將是比沖擊波更大的災(zāi)難，整個(gè)互聯(lián)網(wǎng)，用戶的機(jī)器，都將癱瘓，后果不堪設(shè)想??！
對(duì)于這樣嚴(yán)重的病毒事件，強(qiáng)烈要求騰訊公司給出明確說法并對(duì)廣大用戶公開道歉！此外，我已經(jīng)把這病毒程序提交給了諾頓、卡巴司機(jī)等多個(gè)病毒廠商，希望他們盡快能將其加入最新病毒庫，保障網(wǎng)民的安全！同時(shí)我也奉勸廣大互聯(lián)網(wǎng)用戶，在該問題解決之前，不要下載安裝QQ 2005 BETA3
本站僅提供存儲(chǔ)服務(wù)，所有內(nèi)容均由用戶發(fā)布，如發(fā)現(xiàn)有害或侵權(quán)內(nèi)容，請(qǐng)
點(diǎn)擊舉報(bào)。
