正在阅读：“QQ黏虫”变种来袭 偷拍桌面伪装盗号“QQ黏虫”变种来袭 偷拍桌面伪装盗号

　　如果你收到一封“我有个朋友说认识你，这是他的照片，你打开看下”的邮件，注意切勿打开邮件附件，因为这是最新的“QQ黏虫”木马变种。根据360安全中心分析，该木马可以伪装QQ登录框，在用户输入帐号密码窃取数据。最近一周，360安全卫士已拦截该“QQ黏虫”变种超过4万次。

图1：360安全卫士拦截“QQ黏虫”木马变种

　　“QQ黏虫”是2011年十大高危木马之一，其最新变种的盗号手段更为隐蔽：一旦有网民中招，木马会暴力关闭QQ进程，再伺机“偷拍”电脑桌面，把真正的QQ登录框隐藏后，代替以其截图仿真的木马登录框，诱骗用户填写帐号密码。

　　“如果遇到QQ异常关闭，大多数情况都是木马作怪。”360安全专家石晓虹博士表示，不法分子盗号后，除了窃取帐号关联的虚拟财产，还有可能假冒身份向丢号者的亲友借钱，从而对网民造成更严重的经济损失。

　　针对“QQ黏虫”盗号手段，360安全卫士和360杀毒均已升级防护，能够主动防御木马伪装QQ登录框，全面封杀“QQ黏虫”系列变种。石晓虹博士建议广大QQ用户，如果遇到陌生人发来照片的情况，应先查毒再打开，以免重要帐号被木马窃取。

　　附：“QQ黏虫”木马变种分析

　　传播渠道

　　通过电子邮件传播，盗号者发送一封“我有个朋友说认识你，这是他的照片，你打开看下”的邮件，邮件附件即为木马。

　　木马工作流程

　　木马原始文件名：像片.EXE，文件大小：647KB （662,528字节）

图2

　　木马工作流程如下：

图3

　　木马运行现象

　　一、“QQ黏虫”木马变种加了ASP的壳，运行之后，首先弹出一个虚假的文件出错提示麻痹用户，其实木马已经偷偷运行：

图4

　　二、木马运行后结束QQ进程：

图5

　　三、之后不停查找QQ窗口，等待QQ运行：

图6

　　四、找到QQ窗口后对其截图，并把真正的QQ登录框隐藏到用户不可见的位置，（3000，3000，即屏幕可见范围之外）：

图7

　　五、弹出木马伪装的QQ登录窗口：

图8

　　六、取得QQ号和密码后通过ASP提交到服务器，该木马同时具有通过邮件发送QQ号码和密码的能力，以下为邮件发信代码：

图9

　　预防和查杀

　　木马试图移动QQ窗口时，360安全卫士会弹出警告，予以拦截：

图10

　　360云安全引擎可全面识别并查杀此类黏虫木马：

图11

　　关于奇虎360科技有限公司

　　奇虎360(NYSE:QIHU)是中国第一大互联网安全服务提供商。按照用户数量计算，目前奇虎360是中国第三大互联网公司。作为“免费安全”的首创者，奇虎360为近4亿中国互联网用户提供领先的互联网和无线安全产品及服务，覆盖率近90%。奇虎360通过提供细致、完善的平台服务以及网络安全服务，以开放平台实现商业价值，与合作伙伴共同建立起多方共赢的互联网生态体系。