出处：超级巡警 时间：2007年11月02日
`j:>*Iy [l\5&H+s 超级巡警收到网友举报，在使用QQ进行聊天的时候，在QQ群里会有网友发送“www.*****.cn/1601.rar这里有我的照片帮我顶下记得回复我哦点击就可下载”这样的消息。如果下载运行后，会丢失QQ号并下载大量木马程序。超级巡警团队提醒广大网友不要随意下载QQ群里网友的发送链接，提高安全意识，保证计算机及个人信息的安全。
R[ {pnEX &'-DT-y< 一、病毒相关分析：
C>4$JR `K/v4kdGf 病毒标签：
=*TyE
Q'! 病毒名称：IM-Worm.Win32.QQ.gen
(Bp, ^j 病毒别名：我的照片
.m} qb]%= 病毒类型：蠕虫
Ln $H2Ot 危害级别：4
W.-!>mU 感染平台：Windows
3#y8lCy4~j 病毒大小：32,948 字节(字节)
JP? SHA1 ：f3ad8389e4e53d1723174d32614bae19f063a5e8
<7W }7Y 加壳类型：UPX
-,Bw1k >+ 开发工具：Borland Delphi 6.0 - 7.0
9F@{@0f nZFCOXrB5 病毒行为：
' c%@%p) 1、执行文件后会在非系统盘生成
)[=pCaY AutoRun.exe (32,948 bytes)和AutoRun.inf
^ye"" 2、释放文件
:UzX Oz %ProgramFiles%\Internet Explorer\PLUGINS\SysWin7z.Jmp
FtkmzA) s %ProgramFiles%\Internet Explorer\PLUGINS\WinSys8z.Sys
TxH](&V>R 其中WinSys8z.Sys监控发送到消息队列的消息
h_m +_rc 3、注册表修改
9#w34G 注册表键： HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks
z B 'CzZ ] 注册表值： {F81F75C9-F974-4772-B72D-F28CBCD98C5F}
K+{O e}T^ 类型: REG_SZ
Cx&Hc9F 注册表键： HKCR\CLSID\{F81F75C9-F974-4772-B72D-F28CBCD98C5F}\InProcServer32
"f4L M_[ 注册表值： （默认）
PUmZ'xjM= 类型: REG_SZ
<(Jt_1**9 值： C:\Program Files\Internet Explorer\PLUGINS\WinSys8z.Sys
e p(yTuu 4、 post提交
www.418592177.cn/005/qqll.asp盗取QQ号
Um>
H2Y 
B*\sa@ (D 5、下载文件
http://www.*****.com/12345.txt，内容如下：
6w^q#L9? Y http://www.*****/mh.exe
Hb,^" http://www.*****/my.exe
AvqG]^~t http://www.*****/wow.exe
Wl& 1[@g http://www.*****/jh.exe
=G"ks24f http://www.*****/wl.exe
MJ]vHHK http://www.*****/zt.exe
#dVO)#1K http://www.*****/qjsj.exe
V350%=-hA http://www.*****/2.exe
J kI2 Vo http://www.*****/wmgj.exe
#kk.8E http://www.*****/4.exe
?`AINRfZG http://www.*****/tl.exe
Vg%C;e http://www.*****/zx.exe
T$dllV5(@ http://www.*****/1.exe
hSw7:\0l\B http://www.*****/5.exe
{D/ |xXn http://www.*****/3.exe
J=hL=4U http://www.*****/wd.exe
H%X1 / B http://www.*****/6.exe
K~ ^U3K http://www.*****/7.exe
+~q pOxY http://www.*****/8.exe
Lg cr%?\ http://www.*****/9.exe
IPFjsP0+ http://www.*****/10.exe
SJ(oGx5 'bj`@9J 二、解决方案
5k~BnMnKD 20FM_6 推荐方案：由于该程序会下载其他大量恶意程序，所以推荐安装超级巡警进行全面病毒查杀。超级巡警用户请升级到最新病
iC=$ TI 毒库，并进行全盘扫描。
]fcsO[> 超级巡警下载地址：
http://www.dswlab.com/d1.html -Q2+cIq}R^ {w;)]TX 三、安全建议
P/cg&
HY )N_N@{X 1、立即安装或更新防病毒软件并对内存和硬盘全面扫描(推荐安装超级巡警)。
e-0V?+* gJ 2、根据实际安全级别需要适当考虑选用防火墙，并进行正确的设置。
E+.>(aK<#= 3、使用超级巡警的补丁检查功能，及时安装系统补丁。
m xESS 4、禁用不必要的服务。
$%sd#=kk 5、及时更新常用软件，尤其是聊天工具。
lTq "A(8% 6、不要随便打开不明来历的电子邮件，尤其是邮件附件。
t})&5VF* 7、不要随意下载不安全网站的文件并运行。
Cg,Fk hT 8、下载和新拷贝的文件要首先进行查毒。
O
\L7 9、不要轻易打开即时通讯工具中发来的链接或可执行文件。
8 )\d
ZPz 10、使用移动存储介质进行数据访问时，先对其进行病毒检查，建议使用超级巡警U盘免疫器进行免疫。
IW8k$igsh 15、做好系统和重要数据的备份，以便能够进行系统和数据灾难恢复。
rk ,U10F pcA_7@L 注： %System% 是一个可变路径，在windows95/98/me中该变量是指%Windir%\System，在WindowsNT/2000/XP/2003/VISTA中该变
8 qb l7 量指%Windir%\System32。其它：
\^zOXNvIr %SystemDrive% 系统安装的磁盘分区
>WYD!P|x %SystemRoot% = %Windir% WINDODWS系统目录
GZ51 BJMr` %ProgramFiles% 应用程序默认安装目录
Yc#}q/S\% %AppData% 应用程序数据目录
z1 T , P %CommonProgramFiles% 公用文件目录
V_hCZ x] %HomePath% 当前活动用户目录
Iv9 S %Temp% =%Tmp% 当前活动用户临时目录
$"yd$2S_; %DriveLetter% 逻辑驱动器分区
x8J(yI%zx %HomeDrive% 当前用户系统所在分区
HlW n#!M 
