某用戶收到名為 OICQPASS.exe（圖標為企鵝）的文件，聲稱「增強 QQ 保護」。運行後無提示，但任務管理器出現 SMTP 進程，確認中毒。經江民 2005 版與 QQ 專殺工具均未查殺，筆者實施手動清除，過程曲折揭示病毒反查殺技巧。

病毒組件結構

• OICQPASS.exe：主程序，運行即植入木馬。
• xxc.dll：內嵌攻擊者 Email 地址，用於竊取 QQ 賬號密碼並郵件外發。

手動清除全記錄

第一輪：常規清除失敗

1. 刪除病毒源文件 OICQPASS.exe。
2. 註冊表 HKLM\Software\Microsoft\Windows\CurrentVersion\Run 發現兩條啟動項：
   ① 病毒文件原始路徑
   ② C:\WinNT\System32\OICQPASS.EXE
   刪除兩條字串值。
3. 進入 C:\WinNT\System32 搜尋 OICQPASS.EXE —— 未發現，以為清除完畢。
4. 重啟後任務管理器仍有 SMTP 進程運行，啟動項 C:\WinNT\System32\OICQPASS.EXE 竟自動重現！

第二輪：發現偽裝系統文件「Winserver.exe」

1. 在 System32 目錄按「圖標」篩選，發現 Winserver.exe 圖標竟是企鵝！
2. 病毒將自身重命名為類似系統組件名稱（Winserver 易被誤認為合法服務），並更換圖標偽裝。
3. 刪除 Winserver.exe，重啟系統報錯「無法加載註冊表指定的 Winserver.EXE」，再次清理殘留啟動項。
4. 重啟後任務管理器恢復正常，無異常進程，清除宣告結束。

病毒反查殺技巧總結

技巧	表現	對抗方法
啟動項煙霧彈	Run 鍵值放置真假兩條路徑，誤導清除者以為已清理	檢查所有 Run/RunOnce/RunServices 鍵值，逐一驗證文件是否存在
系統文件偽裝	命名為 Winserver、Svchost、Explorer 等，圖標盜用合法程式	啟用「顯示隱藏/系統文件」，按圖標/簽名/數字簽章驗證真偽
進程重命名	任務管理器顯示 SMTP 等常見服務名，實為木馬進程	用 Process Explorer 查看完整路徑、命令行、簽名、網絡連接
關聯文件類型劫持	修改 .txt 打開方式掛載自身	檢查 HKCR\txtfile\shell\open\command 等關聯鍵值

給網管的建議

• 部署應用程式白名單（AppLocker/Software Restriction Policies），僅允許簽名受信程式運行。
• 啟用 PowerShell 腳本塊日誌 + Sysmon 事件記錄，集中分析異常進程創建、註冊表寫入、網絡連接。
• 定期導出關鍵註冊表鍵值（Run、RunOnce、Services、Image File Execution Options）建立基線，異變即報警。
• 用戶教育：任何「破解/外掛/帳號保護」類工具均為高風險，嚴禁在工作設備運行。

結語

「QQ殺手」雖屬早期木馬，但其「啟動項煙霧彈 + 系統文件偽裝 + 進程重命名」組合拳，至今仍是現代木馬（如 TrickBot、Emotet、Cobalt Strike Beacon）的核心隱匿技術。手動清除過程中的觀察、假設、驗證、迭代思維，正是威脅狩獵的核心素養。工具會過時，分析方法論永不過時。