事件通報：偽裝圖片的 MSN 機器人木馬

近期 MSN 傳播壓縮包 img807.zip，解壓得 img807.jpg.exe (雙重副檔名偽裝，利用 Windows 預設隱藏已知副檔名顯示為 jpg 圖示)。嚴禁雙擊執行！ 病毒代號：Win32.Troj.MsnBot.ce.86528。

病毒行為深度分析 (珠海引擎組報告)

1. 檔案落地與偽裝

• 自我複製至 %Windows%\vpcrtf.exe。
• 釋放帶 ZIP 頭的自身副本 %Windows%\img807.zip (供後續傳播)。

2. 持久化自啟動

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"Microsoft Virsual Application" = "vpcrtf.exe"   ; 拼寫錯誤 "Virsual" 為特徵徵跡

3. IRC 後門連線 (C&C)

• 連接 vpn.base****.info (IRC 伺服器)。
• 接收指令碼：ERROR PRIVMSG KICK TOPIC 332 366 005 376 422 433。
• 上傳受害機資訊：IP、電腦名稱等。

4. 破壞防禦與反分析

• 停用服務：Security Center (Windows 安全中心)、winvnc4 (VNC 遠端桌面)。
• 三重反虛擬機技術：偵測到 VMware/VirtualBox/沙箱環境即自我終止，對抗安全研究人員動態分析。

傳播特性評估

• 代碼中含 MSN 傳播模組但未啟用，目前不會像早期 MSN 機器人病毒大規模爆發。
• 專家警告：極大機率出現啟用傳播模組的更新版本，需高度警戒。

緊急處置與防護建議

1. 立即斷網 阻斷 C&C 連線與潛在傳播。
2. 全盤掃毒：更新病毒碼至最新，掃描清除 vpcrtf.exe、img807.zip 及相關檔案。
3. 清除啟動項：regedit 刪除上述 Run 鍵值。
4. 檢查服務：確認 Security Center、winvnc4 服務狀態為「自動/已啟動」。
5. 修改 MSN/相關帳號密碼：防止帳號被盜用於二次傳播。
6. 開啟副檔名顯示：資料夾選項 → 檢視 → 取消勾選「隱藏已知檔案類型的副檔名」，識破雙重副檔名偽裝。
7. 拒絕接收/執行不明壓縮包/執行檔：即使來自通訊錄好友，未預期檔案一律確認後再開。

結語

MSN 病毒持續演進，利用社交信任鏈與副檔名偽裝誘騙執行。技術防護 (防毒、防火牆、補丁) 與習慣防護 (不盲信、顯示副檔名、斷網清毒) 同樣重要。面對變種威脅，保持警覺、及時更新防禦特徵碼，是唯一不敗法門。