免費表情包背後的惡意行為大揭秘

QQ 表情包本是聊天增色工具，卻被不法分子利用。近期大量用戶反饋遭遇「多多 QQ 表情」病毒騷擾，經調查發現，這款擁有近 40% 市場佔有率的軟件，實為捆綁惡意代碼的流氓軟件。

表面宣稱 vs 實際行為

官方宣稱：免費提供超炫表情，一鍵導入，安裝後可在「新增/移除程式」中卸載，並向軟件作者支付 0.05 元/次的捆綁費。

實測發現：主程式僅 47KB，實際捆綁一個名為 Update.exe 的病毒組件。諾頓、瑞星、超級兔子等主流安全軟件均將其判定為病毒。

病毒技術分析：顯性與隱性雙重攻擊

顯性行為（彈窗推廣、修改首頁）

• 強制設定 IE 首頁為 https://www.9991.com/
• 彈出多個推廣頁面（如 chanet.com.cn、b2b2.net、7MP3.com 等）

隱性行為（靜默下載、自我更新、數據上傳）

• 訪問 file.qqhelper.com/up/update.dat 獲取更新配置
• 下載執行 uninstalldrv.exe、uninstalltmp.exe 等不明程式
• 向 tongji.qqhelper.com 上傳機器碼、安裝 ID、版本等敏感信息

文件落地痕跡

病毒會在系統建立以下目錄與檔案：

• C:\Program Files\Common Files\UPDATE\update.dat / update.exe
• C:\Program Files\Common Files\SAND\updatesr.ini、svr.dat、qqfacerclient.exe、twunk_8.exe（潛伏組件，待進一步分析）

防範建議

1. 僅從騰訊官方或正規大型下載站獲取表情包。
2. 安裝軟件時選擇「自定義安裝」，取消勾選捆綁項目。
3. 定期使用殺毒軟件全盤掃描，關注 Common Files 目錄下的異常檔案。
4. 發現異常進程（如 update.exe）立即斷網查殺。