-- 作者：年代
-- 时间：2006-1-6 2:51:01
-- [公告][软件]腾讯QQ最新版中可能含有病毒程序
QQ最近在其官方网站WWW.QQ.COM 上推出了QQ2005 beta3版，吸引了很多用户试用。这本来是件好事情，却爆出了这个版本的QQ可能含有病毒的消息。
为了证实这个消息的真实性，我赶紧到www.qq.com上下载了一个QQ2005 beta3，进行了详细而认真的测试。以下是测试结果：
1、这个版本的QQ安装时，生成4个额外的病毒文件：这个版本的QQ安装完毕后，除了生成QQ正常使用的文件外，的确会在系统文件夹c:\windows \downlo~1下生成多余的4个文件，其中2个为dll动态库文件，1个为exe可执行文件，一个为dat数据文件。这4个文件互相配合，形成了一套功能完备的病毒程序（病毒行为详见后面的分析）
2、病毒文件会在系统注册表中增加一个独立于QQ启动项之外的启动项：这4个文件被创建后，会在系统注册表中增加一个名为“_TBHTray”的启动项，路径指向刚才所发现的2个dll文件中的一个，以保证这些文件能在系统启动时被自动加载。因此，他们的自我启动，在此时与QQ是否存在无关了
3、病毒文件采用多种方法实现自我隐藏：不知出于何种目的，这4个文件在自我隐藏方面可谓煞费苦心，集多个典型病毒的隐藏方法于一身，分别是：
文件名随机生成，即便在同一台电脑上，每次安装QQ2005 BETA3，这4个文件的文件名都不相同，使得你很难找到
调用系统函数，将自身的文件属性设置为系统级，使得在windows窗口模式下根本无法看到这些病毒文件，必须使用dos命令行模式才可看到
无论你何时安装，它会自动将dll文件的生成时间设置为2005-9-8 16:38，这是QQ 2005beta3证实发布之前的日期，使你很容易忽略和QQ 2005 BETA3的联系
4、该病毒使用钩子技术实现了自我保护机制，使用户根本无法手工删除
该病毒在系统的最底层，挂了一个Debug钩子，这个钩子随着系统的启动而启动，即使在安全模式下也会运行，保证从最底层获得系统的控制权
此外，该病毒还另外挂了CBT钩子和键盘监视钩子，这两个钩子和前面提到的debug钩子相互配合，互相保护，不断刷新系统注册表及自身文件列表，一旦发现注册表项或文件项被删除，即会自动重新创建
这三个钩子均无法手工停止，即便杀死QQ所有的进程后依然在工作。
5、该病毒具备自我升级机制，会绕开防火墙随时从互联网上升级到更新的版本
该病毒的exe文件负责客户端与互联网服务器的通信与升级，此exe文件在用户每次打开IE时都会向互联网服务器发回信息，并根据服务器的指令决定是否升级。由于该程序利用了IE访问网络的80端口，因此会绕开绝大多数的网络防火墙，使得升级在不知不觉在进行！
6、该病毒记录了用户上网所一举一动，并很有可能将这些内容打包发给了它的服务器
由于该病毒在系统中挂了一个键盘钩子和CBT钩子，它截获并记录用户使用电脑的一举一动，包括访问的网址，地址栏输入的内容，搜索词，用户名及密码等。同时我还发现，在我打开IE 时，这个病毒均会向服务器会传一大堆的数据，由于这些数据已经加密，我无法获知究竟是什么内容，但根据数据排列和信息量来看，极有可能是用户上网的访问记录等极其敏感的隐私信息！
7、该病毒在QQ卸载后依然会存在在用户的机器中，无法彻底清除
如果将QQ 2005 BETA3卸载掉，这个时候，病毒文件依然会保留在机器里，并不被卸载掉。如果重新安装一遍，由于病毒的文件名是随机生成的，则又会在系统中增加一整套病毒文件。往复几次，则硬盘中的病毒文件数量将触目惊心！这些病毒文件互相嵌套，关系错综复杂，使得用户根本无法分清彼此间的关系，根本无法将该病毒彻底清除干净！（如图）
综上所述，此程序已经具备了病毒所有的特性：自我隐藏、自我变形、自我保护、快速传播、截获用户输入、悄悄升级等，因此，我可以得出颇为肯定的结论：
在QQ官方网站www.qq.com推出的qq 2005 beta3内嵌了一个地地道道的病毒程序！
由于分析工作没有全部完成，加之该病毒正处在潜伏期，目前还不是很清楚该病毒程序所做的一切行为，但目前已经能对该病毒的危害得出一定的结论了。该病毒会产生的危害有：
1、降低系统稳定性，导致部分用户电脑崩溃
由于该病毒中滥用文件变名、Debug钩子、自我保护等技术，使得系统稳定性大受影响。测试期间，测试机多次停止响应。如果使用工具强制删除掉该病毒其中的某个dll文件，由于该病毒自我保护机制的不成熟，甚至会使得启动无法启动。
由于QQ是全国装机量最大的软件，覆盖在上千万台电脑上，只要以上问题出现概率大于1%（事实上我测试时接近10%），必将导致数十万的用户无法继续使用电脑，危害相当严重！！
2、急剧降低系统性能
由于该病毒在不断的刷新注册表、文件列表，同时利用钩子截获用户的所有输入，因此使得系统性能极具下降，这种下降在打开IE时表现得尤为明显。在未安装此病毒的测试机上，连续打开10个IE后，再打开IE窗口的速度与没有明显减慢；在已安装此病毒的测试机上，打开第一个IE窗口时就明显感觉到顿挫感，在打开第10个窗口时，常需数秒以上，最长时甚至长达1分钟，无法忍受！！
在访问新浪、搜狐等大型网站时，也能明显感觉到打开网页的速度明显降低，常常点击链接后机器失去响应数秒。
3、窃取用户隐私
该病毒截获了用户所有的输入，因此安装了该病毒的机器即无隐私可言，上网的网址、输入的用户名、密码、搜索用过的搜索词均会被该病毒截获。最严重的，如果用户在机器上使用过银行的网上支付系统，则存在极大的风险丢失卡号及密码，被偷盗钱财。
4、有可能在互联网上引发又一次轮蠕虫冲击波，导致互联网瘫痪
由于附着在QQ上，所以该程序会以每天近百万的速度散播在互联网上，不需要太久，它将在数千万台电脑上潜伏。如果该病毒象其它病毒一样，集中在一天内爆发，那将是比冲击波更大的灾难，整个互联网，用户的机器，都将瘫痪，后果不堪设想！！
对于这样严重的病毒事件，强烈要求腾讯公司给出明确说法并对广大用户公开道歉！此外，我已经把这病毒程序提交给了诺顿、卡巴司机等多个病毒厂商，希望他们尽快能将其加入最新病毒库，保障网民的安全！同时我也奉劝广大互联网用户，在该问题解决之前，不要下载安装QQ 2005 BETA3
==========================
病毒样本程序下载地址： http://im.qq.com/qq/dlqq.shtml
测试机配置：P4 2.0G 512M内存 120G硬盘
作者：疯疯癫癫0 自天涯
网友回复如下：
作者：大森林Dasl
有同样的感受，安装QQ2005 BETA3后机子一下比以前访问慢了！。。
作者：贰贰贰贰
真的慢了，卸了也不起作用。
求助于软件高手，怎么办？
谢谢！
作者：雨中的火焰 8
好像没有什么不对劲的地方啊
作者：johnliuzy
去看看腾讯的公告吧
金山，江民，瑞星等国内知名安全软件厂商都证明QQbeta3毫无问题
估计这片软文的作者是UC或者其他垃圾IM软件的枪手为抹黑腾讯写的
想到UC这样的垃圾软件就好笑
花了几百万买通大众软件把自己评为最受欢迎的IM软件
平时同时在线的人还不足20W
还好意思自欺其人
QQ同时在线人数都快突破2000W了
作者：itp5lx
我装这个软件之后出现了木马，不知在哪儿可以下以前 的版本？
作者：乱马010
我装了,让我卸载掉了,速度太慢。还是觉得qq2004beta2版好用。qq越做越大，真是受不了。占用那么多系统资源。
作者：jary888
我也感觉用Ｂ３后慢的多，腾讯收集用户的信息又不是什么新闻，至于病毒是不是我不知道，但肯定有收集用户上网习惯的一些代码在里面．老马还是很坏的说．申明俺不是ＩＴ人士
作者：zippo1932
国安局做地，业内人士都知道！
作者：zippo1932
；里面包含一敏感字记录系统，当通讯中出现敏感字时，腾讯主机会自动对通信内容进行记录并收集用户资料。当然，做资料分析是国安局的事。
当然这不是什么新闻了，所有的固话和移动电话系统都有这一系统。QQ的收集系统好象是在一到两年前就搞出来了的。
作者：sxh2
不管是不是病毒，要是收集用户信息就是无耻
作者：叛变时一定叫上我
这个用来搜集用户信息的。
以前玩“QQ挂机升级”就是为了搜集用户信息。不过这个信息应该是纯粹为腾讯公司自己服务的。
现在在客户端留的程序……有头脑的朋友都知道，没有一些“特殊部门”的授权，它是不可能这么玩的……并且，采集的用户信息（暂时不知是哪方面内容），可能也会送到某些“特殊部门”备案。
就像美国的碎纸机，在某些地方（比如靠近大使馆？），虽然是所谓“民用”，实质上也有扫描和发送信息的功能……
大家明白了吧？不能再说了，说多了我有灭顶之灾……
作者：火眼小狐 4
这个版本确实问题很大
我们报社的美编由于使用QQ新版已经差不多崩溃了三台了，损失也比较的……寒……
我自己新买的笔记本也是，莫名其妙有了木马，刚开始不知道怎么回事而且怎么杀也生生不息，搞IT的高手朋友说我的计算机程序中有木马在刺探他，帮我远程操作安装新软件杀出4个木马，之后由于新软件具备的功能，经常会在使用时突然警报信息漫溢什么的，后来查了查基本意思就是你的电脑内有东西在收集你的资料然后主动向外发送，然后被新软件察觉关起来了……
现在QQ版本也懒得删了，删了也没用，就随便用用吧，不过建议大家不要没事就升级QQ，我就是由于新装机器装了最新版本才发了这事儿，以前的电脑没装新版本时从没任何问题过，而我们报社美编电脑除了没安QQ的苹果机器们外其他几台都出现问题，最严重的就是崩溃数据全丢……
基本上赞成楼主的意见，至于那些认为楼主拿着专业术语来说事导致的人们，起码可以看看我这白话连篇的个人体会说明，如果不是腾讯的托，如果还有点良知意识，就算你不信，也起码停止对楼主的攻击吧。
作者：火眼小狐 6
汗
照我楼上的说法
原来腾讯是国家机关事业单位啊
作者：april012 9
到底有没有啊？不要吓我啊~
不过每次开QQ，诺顿就会出来。
有没有专业权威出来解释啊？
|
|