病毒名：

    QQ群蠕蟲(chóng)病毒（Win32.Troj.Pincav）

  病毒簡(jiǎn)介：

    該病毒偽裝成電視棒破解程序欺騙網(wǎng)民下載，盜取魔獸、郵箱及社交網(wǎng)絡(luò)賬號(hào)，中毒后病毒會(huì)自動(dòng)訪(fǎng)問(wèn)QQ群共享空間進(jìn)行傳播。目前該病毒感染量每天約2萬(wàn)個(gè)，一周來(lái)累計(jì)感染量突破12萬(wàn)。

   該病毒的技術(shù)手法，可能給QQ安全帶來(lái)空前壓力，也極可能被其他病毒作者效仿。

圖1 國(guó)內(nèi)首個(gè)QQ蠕蟲(chóng)傳播效果圖

 QQ群蠕蟲(chóng) （Win32.Troj.Pincav）的傳播手法

    病毒首先通過(guò)小網(wǎng)站（偽裝成色情播放器和游戲外掛）被部分網(wǎng)民下載后運(yùn)行，據(jù)金山云安全中心統(tǒng)計(jì)，經(jīng)常下載這類(lèi)程序的網(wǎng)民中有20%會(huì)關(guān)閉殺毒軟件，主動(dòng)運(yùn)行病毒。

    中毒后病毒會(huì)將復(fù)制自身，主動(dòng)上傳到當(dāng)前QQ用戶(hù)的所有QQ群中，QQ群會(huì)收到共享文件的通知，在線(xiàn)成員可能下載該程序。從而，使越來(lái)越多的QQ用戶(hù)中毒，就如原子彈爆炸般的鏈?zhǔn)椒磻?yīng)。短時(shí)間內(nèi)造成大量用戶(hù)QQ帳號(hào)、郵箱帳號(hào)、網(wǎng)游帳號(hào)等重要信息被盜。

 
圖2 國(guó)內(nèi)首個(gè)QQ蠕蟲(chóng)傳播流程

  病毒分析：

   1.行為分析：

    在C盤(pán)Program Files文件夾或各磁盤(pán)根目錄生成文件：

    C:\Program Files\NVIDIA Corporation\PhysX\Common\nwizs.exe(偽裝成英偉達(dá)顯卡驅(qū)動(dòng)程序相關(guān)文件)

    C:\Program Files\NVIDIA Corporation\PhysX\Common\nvwdmcpl.dll   (偽裝成英偉達(dá)顯卡驅(qū)動(dòng)程序相關(guān)文件)

    x:\recycle.{645FF040-5081-101B-9F08-00AA002F954E}\recycle.exe（偽裝成回收站圖標(biāo)）

圖3 病毒偽裝成回收站圖標(biāo)并隱藏

    x:\autorun.inf（以實(shí)現(xiàn)雙擊磁盤(pán)圖標(biāo)時(shí)病毒被執(zhí)行）

 
圖4 病毒修改雙擊磁盤(pán)自動(dòng)打開(kāi)配置文件autorun.inf

    寫(xiě)入啟動(dòng)項(xiàng):

    修改HKEL_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run   下的nwizs值

    修改HKEL_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run下的nwizs值

    2.傳播技術(shù)點(diǎn)：

    若QQ.exe正在運(yùn)行，病毒dll會(huì)注入QQ.exe，使用特殊技術(shù)手段得到QQ號(hào)和QQ號(hào)碼的ClientKey（ClientKey是在QQ登陸后動(dòng)態(tài)生成的，在我們打開(kāi)自己的QQ郵箱、QQ空間或者QQ群共享時(shí)，ClientKey充當(dāng)了QQ密碼的角色），利用這些信息訪(fǎng)問(wèn)QQ群，得到該QQ號(hào)的QQ群列表。然后，病毒向所有QQ群上傳自身。

    效果如下：

圖5 病毒自身副本被上傳到QQ群共享空間

    3.病毒自升級(jí)：

    病毒作者使用了一個(gè)百度空間來(lái)存放兩個(gè)加密后的URL，通過(guò)解密出來(lái)的URL下載病毒壓縮包。百度空間地址http://hi.baidu.com/px44554344/home

圖6 病毒作者利用百度空間來(lái)取得加密字串，以更新病毒

    這兩個(gè)博客文本解密之后為的字串（因涉及病毒傳播，金山毒霸工程師在本報(bào)告中隱藏了完整路徑）

    http://******/6/1315115820x-954498972.gif
    （gif圖片，據(jù)推測(cè)是病毒作者用來(lái)測(cè)試網(wǎng)絡(luò)狀態(tài)）

    http://******/6/1315116601x-1376440220.zip
    （zip包是病毒用來(lái)上傳到QQ群共享的壓縮包，病毒作者通過(guò)更新百度空間中的字符串來(lái)更新病毒包下載地址。）

    4.病毒傳播觸發(fā)條件：

    病毒作者編寫(xiě)程序中的一個(gè)BUG導(dǎo)致中毒電腦的QQ號(hào)若大于2147483648時(shí)，將不能觸發(fā)病毒自動(dòng)上傳到QQ群共享空間。

    5.中毒現(xiàn)象

    1)Windows資源管理器會(huì)無(wú)緣故重啟一次（就是Windows桌面重新刷新一次）

    2)中毒后可在群共享中發(fā)現(xiàn)有登錄者qq群共享文件，文件名可能為:"成人電視棒破解版V2.zip"或者"成人電視棒升級(jí)破解版.zip"。

    目前，金山毒霸已經(jīng)和騰訊安全中心針對(duì)此病毒緊急磋商，以阻止類(lèi)似病毒通過(guò)QQ群共享空間爆發(fā)式傳播，金山毒霸獵豹+QQ電腦管家極速安全套裝已經(jīng)可以完美攔截。

    熱點(diǎn)新聞：

    國(guó)內(nèi)首個(gè)QQ群蠕蟲(chóng)病毒被截獲

    新鬼影病毒利用主板BIOS再襲網(wǎng)絡(luò)