博客圈

本网站停止更新!

Tue, 18 Oct 2005 17:16:46 GMT

请访问新地址:http://spaces.msn.com/members/blogquan/

QQ病毒事件全程追踪调查!

Wed, 05 Oct 2005 15:02:58 GMT

关于QQ病毒事件的历史回顾:

起因:　QQ最近在其官方网站WWW.QQ.COM上推出了QQ2005 beta3版，吸引了很多用户试用。这本来是件好事情，却爆出了这个版本的QQ可能含有病毒的消息。（延伸阅读：网友怒曝：QQ 2005 Beta3版带会自动改名的病毒）

　　为了证实这个消息的真实性，我赶紧到www.qq.com上下载了一个QQ2005 beta3，进行了详细而认真的测试。

　　以下是测试结果：

　　1、这个版本的QQ安装时，生成4个额外的病毒文件：这个版本的QQ安装完毕后，除了生成QQ正常使用的文件外，的确会在系统文件夹c:\windows\downlo~1下生成多余的4个文件，其中2个为dll动态库文件，1个为exe可执行文件，一个为dat数据文件。这4个文件互相配合，形成了一套功能完备的病毒程序（病毒行为详见后面的分析）

　　2、病毒文件会在系统注册表中增加一个独立于QQ启动项之外的启动项：这4个文件被创建后，会在系统注册表中增加一个名为“_TBHTray”的启动项，路径指向刚才所发现的2个dll文件中的一个，以保证这些文件能在系统启动时被自动加载。因此，他们的自我启动，在此时与QQ是否存在无关了

　　3、病毒文件采用多种方法实现自我隐藏：不知出于何种目的，这4个文件在自我隐藏方面可谓煞费苦心，集多个典型病毒的隐藏方法于一身，分别是：
? 文件名随机生成，即便在同一台电脑上，每次安装QQ2005 BETA3，这4个文件的文件名都不相同，使得你很难找到调用系统函数，将自身的文件属性设置为系统级，使得在windows窗口模式下根本无法看到这些病毒文件，必须使用dos命令行模式才可看到。
? 无论你何时安装，它会自动将dll文件的生成时间设置为2005-9-8 16:38，这是QQ 2005beta3证实发布之前的日期，使你很容易忽略和QQ 2005 BETA3的联系。

　　4、该病毒使用钩子技术实现了自我保护机制，使用户根本无法手工删除该病毒
　　在系统的最底层，挂了一个Debug钩子，这个钩子随着系统的启动而启动，即使在安全模式下也会运行，保证从最底层获得系统的控制权。

　　此外，该病毒还另外挂了CBT钩子和键盘监视钩子，这两个钩子和前面提到的debug钩子相互配合，互相保护，不断刷新系统注册表及自身文件列表，一旦发现注册表项或文件项被删除，即会自动重新创建。这三个钩子均无法手工停止，即便杀死QQ所有的进程后依然在工作。

　　5、该病毒具备自我升级机制，会绕开防火墙随时从互联网上升级到更新的版本

　　该病毒的exe文件负责客户端与互联网服务器的通信与升级，此exe文件在用户每次打开IE时都会向互联网服务器发回信息，并根据服务器的指令决定是否升级。由于该程序利用了IE访问网络的80端口，因此会绕开绝大多数的网络防火墙，使得升级在不知不觉在进行！

　　6、该病毒记录了用户上网所一举一动，并很有可能将这些内容打包发给了它的服务器

　　由于该病毒在系统中挂了一个键盘钩子和CBT钩子，它截获并记录用户使用电脑的一举一动，包括访问的网址，地址栏输入的内容，搜索词，用户名及密码等。同时我还发现，在我打开IE 时，这个病毒均会向服务器会传一大堆的数据，由于这些数据已经加密，我无法获知究竟是什么内容，但根据数据排列和信息量来看，极有可能是用户上网的访问记录等极其敏感的隐私信息！

　　7、该病毒在QQ卸载后依然会存在在用户的机器中，无法彻底清除

　　如果将QQ 2005 BETA3卸载掉，这个时候，病毒文件依然会保留在机器里，并不被卸载掉。如果重新安装一遍，由于病毒的文件名是随机生成的，则又会在系统中增加一整套病毒文件。往复几次，则硬盘中的病毒文件数量将触目惊心！这些病毒文件互相嵌套，关系错综复杂，使得用户根本无法分清彼此间的关系，根本无法将该病毒彻底清除干净！

　　综上所述，此程序已经具备了病毒所有的特性：自我隐藏、自我变形、自我保护、快速传播、截获用户输入、悄悄升级等，因此，我可以得出颇为肯定的结论：

　　在QQ官方网站www.qq.com推出的qq 2005 beta3内嵌了一个地地道道的病毒程序！

　　由于分析工作没有全部完成，加之该病毒正处在潜伏期，目前还不是很清楚该病毒程序所做的一切行为，但目前已经能对该病毒的危害得出一定的结论了。该病毒会产生的危害有：

　　1、降低系统稳定性，导致部分用户电脑崩溃

　　由于该病毒中滥用文件变名、Debug钩子、自我保护等技术，使得系统稳定性大受影响。测试期间，测试机多次停止响应。如果使用工具强制删除掉该病毒其中的某个dll文件，由于该病毒自我保护机制的不成熟，甚至会使得启动无法启动。
　　由于QQ是全国装机量最大的软件，覆盖在上千万台电脑上，只要以上问题出现概率大于1%（事实上我测试时接近10%），必将导致数十万的用户无法继续使用电脑，危害相当严重！！

　　2、急剧降低系统性能

　　由于该病毒在不断的刷新注册表、文件列表，同时利用钩子截获用户的所有输入，因此使得系统性能极具下降，这种下降在打开IE时表现得尤为明显。在未安装此病毒的测试机上，连续打开10个IE后，再打开IE窗口的速度与没有明显减慢；在已安装此病毒的测试机上，打开第一个IE窗口时就明显感觉到顿挫感，在打开第10个窗口时，常需数秒以上，最长时甚至长达1分钟，无法忍受！！

　　在访问新浪、搜狐等大型网站时，也能明显感觉到打开网页的速度明显降低，常常点击链接后机器失去响应数秒。

　　3、窃取用户隐私

　　该病毒截获了用户所有的输入，因此安装了该病毒的机器即无隐私可言，上网的网址、输入的用户名、密码、搜索用过的搜索词均会被该病毒截获。最严重的，如果用户在机器上使用过银行的网上支付系统，则存在极大的风险丢失卡号及密码，被偷盗钱财。

　　4、有可能在互联网上引发又一次轮蠕虫冲击波，导致互联网瘫痪

　　由于附着在QQ上，所以该程序会以每天近百万的速度散播在互联网上，不需要太久，它将在数千万台电脑上潜伏。如果该病毒象其它病毒一样，集中在一天内爆发，那将是比冲击波更大的灾难，整个互联网，用户的机器，都将瘫痪，后果不堪设想！！

　　对于这样严重的病毒事件，强烈要求腾讯公司给出明确说法并对广大用户公开道歉！此外，我已经把这病毒程序提交给了诺顿、卡巴司机等多个病毒厂商，希望他们尽快能将其加入最新病毒库，保障网民的安全！同时我也奉劝广大互联网用户，在该问题解决之前，不要下载安装QQ 2005 BETA3

结果:

今天看了这篇通告:

尊敬的用户：

腾讯QQ2005 Beta3中，有一个可选择安装的地址栏搜索插件。该插件采用了“动态文件名”技术，此项技术在一些反病毒软件中可能引起误报，可能会给部分用户带来困扰，对此我们深表歉意。

为此，我们修正了地址栏搜索插件，去除了容易误会的“动态文件名”技术，用户可以自主选择是否下载升级。

感谢广大用户对腾讯公司的关爱和支持。

腾讯公司

二OO五年九月三十日

评论:

我想肯定是QQ安全中心(和金山毒霸合作搞的)拿我们用户当试验品,而腾讯公司为了逃避责任,力图欺骗QQ大众不懂技术,用"动态文件名"来蒙我们.没有一点诚意!

同时我警告一些杀毒软件公司不要干一些违背职业道德的事,会遭到大众的漫骂的.

网站建议区

Mon, 03 Oct 2005 22:34:07 GMT

希望大家对网站色彩和功能方面对提意见,没有也留个脚印知道你来过!

人不学要落后,刀不磨要生锈!

Mon, 03 Oct 2005 19:19:06 GMT

WEB2.0概念都还模糊的时候,王翌的WEB2.5又诞生了,从互联网web1.0到2.0发展了十年,而web2.0到2.5就差不多几十天,看来我们又落后了!

这句话经典!

Mon, 03 Oct 2005 19:06:11 GMT

所谓历史不过是一连串大家同意的谎言

─[法国] 拿破仑

大家讲讲和blog成长的故事吧!

Mon, 03 Oct 2005 18:47:19 GMT

很想听听,就像照片一样能带来很多回忆!

博客和博客圈

Mon, 03 Oct 2005 17:39:45 GMT

如果说博客是一个人的真实写照,那么博客圈就是把活生生人组织起来让大家更简单的交流沟通!

Custom List: 其它地区

Fri, 14 Oct 2005 12:45:59 GMT

其它地区

王通
西安知名IT策划人
陈体滇
大龄学者
互联网2.0时代
秦尘主办

Custom List: 知名博客

Wed, 05 Oct 2005 16:22:10 GMT

知名博客

博客网
博客门户
IT社区
IT博客
博易网
时尚博客
中国博客
木子美老家
天涯博客
社区博客
博客BUS
功能最强的博客
敏思博客
文学性很强的博客
歪酷博客
随意的博客
中华部落阁
内功很深
新浪博客
从爱问和博客看出新浪开始变革了!
博客园
一群技术疯子
博客中国人
有望替代博客中国
博客研究中心
让你把博客搞个明白

Custom List: 博客圈(北京)

Wed, 05 Oct 2005 15:57:20 GMT

博客圈(北京)

方兴东
博客教父
洪波
想知道互联网的大小事吗?看他博客吧!
风言疯语
怎么BLOG大都是IT人呀!
吕欣欣
他的REEDSKY是什么我现在都不明白!
王垠
清华大学博士生，从事LINUX研究
刘韧
blog里话不多,但经常出书!
东邪是非
不知道是做IT的还是搞文学的女人!

Blog list: BLOG相关知识介绍

Wed, 05 Oct 2005 13:39:23 GMT

BLOG相关知识介绍

Custom List: 特邀博客

Wed, 05 Oct 2005 13:28:22 GMT

特邀博客

犯贱报
生活就是耍贱!

Custom List: 博客圈(深圳)

Mon, 03 Oct 2005 22:47:14 GMT

博客圈(深圳)

张静君
博易网带头人
刘瑜
博客中国人站长博客

Custom List: 联系我

Mon, 03 Oct 2005 22:43:19 GMT

联系我

意见建议和交换连接
圈子qq群:4626190

Custom List: 博客之星

Mon, 03 Oct 2005 20:42:37 GMT

博客之星

顺风
精通经济政治IT等全才
方兴东
是他把WEBLOG带到中国
洪波
访问量最大的IT评论人

Custom List: 流氓博客

Mon, 03 Oct 2005 19:47:30 GMT

流氓博客

流氓燕
有文化的流氓
木子美
卖声不卖身
木木
大奶作家

Custom List: 博客圈(上海)

Mon, 03 Oct 2005 19:12:25 GMT

博客圈(上海)

老冒
为什么叫老冒?问问他吧!
王建硕
他博客访问量比客齐集还多!

Custom List: 优秀网站推荐

Mon, 03 Oct 2005 17:44:35 GMT

优秀网站推荐

GOOGLE
真实可信
新浪网
新闻,爱问,博客等都很不错
雅虎
邮箱挺不错
太平洋电脑
电脑最佳网站
QQ
我们还能离开它?
网易
评论做得很好
俺要下载
破解的精品下载网站