2005 年 2 月 3 日 MSN「性感雞」蠕蟲剛平息，江民反病毒中心 4 日連續截獲 Trojan/QQMsg.Xnico 木馬 5 個變種。該病毒利用 QQ 即時通訊傳播，誘騙用戶點擊惡意鏈接，雙重植入盜號木馬，再次敲響 IM 病毒防範警鐘。

病毒技術特徵

• 生成文件： SysExplr.exe、internet.exe（主體程式）。
• 持久化： 修改註冊表 Run 鍵值實現開機自啟。
• 掛鉤傳播： 關聯 .txt 文件類型，用戶雙擊任意文本文件即觸發病毒再次運行。
• 社工誘餌： 自動向 QQ 在線好友發送誘惑訊息（見下文），引導訪問 ***.com 惡意站點。

典型誘騙話術（隨機發送）

「剛剛搜索到的一個歌曲網站!很經典的,歌曲全部都是最新的,你要是無聊的話去聽聽」

「你剛才說什麼?等等先,我先看完這個網站上的笑話,實在是太過癮了,呵呵,你也可以來看看」

「我每回進這個網站都進去,今天怎麼進不去了,你看你那邊可不可以進」

「快快,剛找到的在線免費論壇,現在搞活動,免費註冊啊,很快的速度,還有很多漂亮MM看哦」

用戶點擊鏈接訪問惡意站點，除感染本木馬外，還會被植入「傳奇木馬」盜取《傳奇》遊戲帳號密碼。

防護與清除建議

1. 立即升級病毒庫： 江民 KV2005 已發布 2 月 4 日病毒庫，開啟所有監控模組可查殺所有已知變種。
2. 手動清除步驟（輔助）：
   a. 任務管理器結束 SysExplr.exe、internet.exe 進程。
   b. 刪除上述文件及 %SystemRoot%\system32 下同名副本。
   c. 註冊表編輯器清理 HKLM\Software\Microsoft\Windows\CurrentVersion\Run 及 HKCU\...\Run 相關啟動項。
   d. 恢復 .txt 文件關聯：HKEY_CLASSES_ROOT\txtfile\shell\open\command 值設為 %SystemRoot%\system32\NOTEPAD.EXE %1。
   e. 全盤掃描清除殘留「傳奇木馬」。
3. 用戶習慣建設： 不點擊 IM 中陌生/誘惑鏈接；懷疑好友帳號被盜時，電話/視頻驗證後再互動。

趨勢洞察：IM 病毒成主流傳播向量

QQ 擁有近億註冊用戶、百萬級同時在線，龐大社交圖譜成為病毒傳播的天然「超級傳播者」。攻擊者利用：

• 好友信任鏈（社工成功率高）。
• 客戶端豐富功能（自定義表情、文件傳輸、鏈接預覽）作為載體。
• 跨平台傳播（QQ → Web 掛馬 → 盜號木馬 → 再傳播）。

防禦側必須從「單機殺毒」轉向「網關過濾 + 客戶端行為分析 + 用戶教育 + 威脅情報共享」的綜合體系。