女人必看第三弹：好销魂啊来袭，QQ群共享成木马传播通道

幻色清风

1. 作者：幻色清风[巨盾安全]
   
2. 链接：http://bbs.ggsafe.com/thread-38676-1-1.html

复制代码

关键词：巨盾安全、女人必看、好销魂啊、QQ群共享
    巨盾安全实验室发现最近有一款木马正通过QQ群共享来传播，利用网友的好奇心，诱导大家下载并运行木马，从而盗取QQ账号和密码。
    两周之前，一个叫“女人必看”的压缩包在QQ群共享中疯传，使得众多的网友QQ账号被盗。上周“女人必看”进行了第一次升级，摇身一变，成为了“QQ农牧场助手”，今天该木马再次升级，又换装为“好销魂啊”，继续诱导网友下载运行。
    今天来简单说一下这个盗号木马的特点：
    一、该木马都是通过QQ群共享传播，盗号者在窃取到网友账号之后，会进入网友的QQ群，或者新加进QQ群，手动上传木马，并将木马的名字修改为极具诱惑力的名字，这样就可以让更多的人中招。这样受害者又成为了传播者，使得木马的传播途径成倍增长。因为QQ群的恢复记录是保存在本地的，所以很多被盗号的网友在找回QQ密码之后，并不能够知道到底被利用了多少次。
    二、该木马都有一个假的数字签名，都是Daemon Tools的，点击详细信息可以发现数字签名是无效的。遇见这样的程序就千万不要运行了。如图（一）：

图（一）

除了以上两个特征之外，网友在中招之后，电脑也会有一些变化，通过这些也可以判断是否中了木马了：
    一、中了该木马之后，系统目录下的comres.dll会被替换掉，QQ、TM的安装目录下也会出现comres.dll或者ws2help.dll，这样，网友在运行QQ或者TM的时候，木马就会自动加载，从而实现盗号。
    二、中了这个木马之后，在登录QQ的时候，会发现QQ登陆框明显的闪一下，QQ登录窗口有一个先被置后再被置前的过程，网友如果发现登录QQ的时候有这样的情况，就需要查杀木马了。
    巨盾安全实验室监控到该木马连续三周以来都有更新，相信是盗号者通过这种方法尝到了甜头。如果该盗号者没有受到法律的严惩，相信他还会继续升级他的木马，在QQ群共享中大肆传播，使其能够获取到更多的利益。如果有网友怀疑自己电脑中毒，可以下载巨盾进行查杀，巨盾利用脚本强大的控制力，能够查杀这个系列的木马，还用户一个安全的上网环境。如图（二）：

图（二）

最后巨盾安全专家提醒网友：不要随便打开陌生人发来的文件；对于此类带有明显诱惑性质的文件，最好在经过杀软或安全辅助类工具查杀确保没有问题之后再打开；一经发现QQ群共享中有可疑的文件，应及时提醒群主删掉，避免其他人中招。养成良好的上网习惯，就会让你离危险远一步，使你的电脑更加安全。
立刻下载安装巨盾
如果觉得机器还有异常，可以寻求巨盾安全专家的帮助。
巨盾官方网址：http://www.ggsafe.com/
巨盾官方论坛：http://bbs.ggsafe.com/

单身熟男

这个电子邮件不可用不等于数字签名无效吧。。。

幻色清风

回复 2# 单身熟男
熟男，数字签名无效的截图我没在文章中截出来。截下给你看下。

喵5~~

晕！好奇害死猫........
不过为什么木马要起这个名字？
这样没什么人会打开吧
还好销魂咧...........
那么多木马，全年365天不放假，太可怕了......

巨盾

回复  单身熟男
熟男，数字签名无效的截图我没在文章中截出来。截下给你看下。
...
幻色清风 发表于 2010-8-25 09:01

嗯，把图片换成无效签名的吧
另外熟男怎么退群了？我加你QQ了

幻色清风

回复 5# 巨盾
嗯，图片已经修改好了。

喵5~~

我讨厌好销魂.....什么嘛.........今天开机主页变成了莫名的网页，后来虽然主页正常，我还是很反感，
什么MM啊销魂的，吐吐吐吐~~