實驗環境與樣本

編輯提供約 7 個 QQ 病毒樣本，筆者在自機 (Win98) 依次運行觀察行為：

1. 一生有你.exe：彈出圖片誘騙點擊 (利用好奇心捆綁圖片)。
2. qq信使功能客戶端生成器：主動生成盜號木馬 (網吧惡意植入場景)。
3. Trojan.PSW.QQpass.ak.a.exe、Trojan.PSW.QQPass.ar.exe 等 3 個：無界面，疑配合 Web 漏洞自動下載執行。
4. Trojan.PSW.QQPass：無界面，典型 Delphi 圖標，運行方式特殊。
5. qqinfo.exe：無界面，目錄含替換用 internat.exe (版本 5.0 疑針對 Win2K/XP，Win98 替換失敗)。

病毒落地痕跡排查 (按修改時間排序)

C:\ 根目錄

多出 dream.jpg (48KB) — 即 一生有你.exe 釋放的誘餌圖片，確為捆綁工具生成。

C:\Windows

新增：qqinfo.exe、intren0t.exe (偽裝 internat.exe)、intrenat.exe。
user.dat、system.dat (註冊表實體文件) 訪問時間被修改 → 註冊表被動過手腳。

C:\Windows\System

新增：explorer.exe (偽裝資源管理器、圖標不同)、winms.exe、uhqq.dll。

D:\ 根目錄

新增 autorun.inf (文本文件) 指向 D:\Program Files\FNYP.EXE (Delphi 圖標，疑為 Trojan.PSW.QQPass 所為)。

註冊表啟動項清理

HKLM\Software\Microsoft\Windows\CurrentVersion\Run 下發現多個可疑鍵值；RunServices 亦有異常。
特殊項：rundll32.exe (系統自帶) 被木馬替換，需修復。

操作：記錄所有可疑文件路徑與鍵值 → 全部刪除可疑鍵值 → 等待數分鐘 → 重開註冊表驗證是否重生 (防木馬利用 System I/O 使刪除無效) → 運行 scanregw 重新備份註冊表 (防非法關機導致操作不保存)。

安全模式徹底清除文件

1. 重啟按 F8 進入安全模式 (不運行註冊表啟動項，木馬成「死馬」，除 D 盤 autorun.inf 型)。
2. 按記錄路徑逐一刪除病毒文件 (均在 C 盤)。
3. D 盤：**右鍵選「打開」進入** (雙擊會觸發 autorun.inf)，刪除 Program Files\FNYP.EXE 及根目錄 autorun.inf。同法處理 E 盤。

修復被替換的 rundll32.exe

Win98：運行 sfc (系統文件檢查器) →「從安裝軟盤提取文件」→ 輸入 rundll32.exe → 指定安裝盤位置 → 確定恢復。
Win2K/XP：從乾淨同版本系統複製同名文件覆蓋 (文件小、網傳快)。

驗收與防範

1. 再次重啟電腦，正常模式進入，放心上網聊 QQ。
2. QQ 木馬功能單一、清除容易，但多數用戶被盜後才察覺 (亡羊補牢)。
3. 最佳預防：不接收陌生文件、網吧下機前改密碼、**認真填寫密碼保護資料** (亂填/過簡/無保護 = 賬號難回)。