2005 年 5 月 8 日，網絡行業協會與江民聯合發布病毒疫情通報，重點預警兩款活躍於即時通訊管道的盜號木馬：Trojan/PSW.QQpass.br（QQ 大盜） 及 Trojan/QQMsg.Xnico.g（QQ 新客 變種 g）。兩者均利用惡意網頁鏈接+社工話術誘騙用戶點擊，竊取 QQ 帳號、網銀憑證、遊戲資產等高價值隱私。
病毒一：Trojan/PSW.QQpass.br ——「QQ 大盜」
| 屬性 | 詳情 |
|---|
| 類型 | 木馬 |
| 危害等級 | ★★ |
| 影響平台 | Win 9x/2000/XP/NT/Me/2003 |
| 傳播途徑 | 惡意網頁鏈接（中國 IT 認證實驗室網站首頁「IT 培訓」鏈接） |
攻擊鏈條
- 用戶訪問正規網站首頁，點擊「IT 培訓」鏈接。
- 新頁面表面正常，但後台隱藏打開惡意頁面（利用 IE MHT 文件下載執行漏洞）。
- 自動下載並運行惡意 CHM 文件內嵌木馬程序。
- 木馬在系統目錄生成
NTdhcp.exe，修改註冊表 Run 鍵值實現開機自啟。
- 竊取 QQ 號、密碼、詳細資料（省份等），回傳攻擊者伺服器。
病毒二：Trojan/QQMsg.Xnico.g ——「QQ 新客」變種 g
| 屬性 | 詳情 |
|---|
| 類型 | 木馬 |
| 文件大小 | 約 42 KB |
| 開發工具 | Delphi + UPX 壓縮 |
| 傳播途徑 | OICQ/QQ 即時通訊 |
| 危害等級 | ★★ |
技術行為
- 創建互斥體確保單實例運行。
- 修改註冊表實現開機自啟。
- 劫持
.txt 文件關聯：用戶每次打開文本文件即觸發木馬運行。
- 自動向 QQ 好友發送惡意站點鏈接，誘騙點擊下載更多盜號木馬（針對網遊帳號密碼）。
江民官方防護建議
- 升級 KV2005 病毒庫至 2005/04/05 後版本，啟用實時監控 + 隱私保護模組，可徹底查殺惡意網頁代碼與木馬程序。
- 網絡版用戶升級控制中心，管理員安排全網掃描，保障企業信息安全。
- 不輕信 IM 鏈接： 克制好奇心，不點擊未經驗證的網址/文件。
- 網吧/公共環境輸入帳號密碼時： 使用軟體鍵盤/虛擬鍵盤，防鍵盤記錄器竊取。
- 啟用 KV2005 新增「木馬一掃光」功能，主動防禦木馬感染與破壞。
技術溯源與防禦啟示
- 供應鏈投毒雛形： 合法網站被植入惡意鏈接 → 利用瀏覽器漏洞靜默下載 → 多級載荷投放。現代供應鏈攻擊（如 SolarWinds、Log4j）同源異構。
- IM 社工傳播鏈： 好友信任 → 誘惑話術 → 惡意站點 → 多重載荷（盜號+下載器+後門）。需從用戶意識、客戶端行為分析、網關 URL 過濾三層截斷。
- CHM/MHT 漏洞利用： 早期 IE 對 CHM（編譯幫助文件）、MHT（MIME HTML）處理缺陷允許繞過安全區域執行代碼。現代瀏覽器已移除/嚴格限制此類功能，但舊版 IE 環境仍存風險。
結語
2005 年的雙重 QQ 木馬預警，折射出即時通訊成為惡意代碼首選傳播管道的歷史拐點。二十年過去，載體從 QQ/MSN 換為微信/Telegram/Discord，核心套路未變：信任鏈利用 + 漏洞利用 + 多載荷投放 + 隱蔽持久化。防禦端必須從「特徵碼追趕」轉向「行為基線+零信任網絡+用戶持續教育」的體系化建設。