變種一：鉤子監控 + 隱藏窗口竊取賬密

• 行為：遍歷進程 → 關閉目標 IM 進程 (強制重啟) → 安裝 `WH_MSGFILTER` + `WH_CBT` 全局鉤子 → 創建隱藏類名 `WTWindow` 窗口 → 捕獲鍵盤/鼠標輸入 → 將賬密發送至 C2 服務器。
• 特徵：進程列表無異常可疑進程 (注入合法進程)；網絡連接隱蔽 (常偽裝正常進程通訊)。
• 查殺：行為防禦 (HIPS/EDR) 攔截 `SetWindowsHookEx` 異常調用；內存掃描檢測異常窗口類名/鉤子鏈。

變種二：易語言編寫「QQ密碼收集器」社工偽裝

• 偽裝功能：QQ 加密相冊破解、空間訪問量刷量、Q幣充值、鑽石業務刷級。
• 實際邏輯：點擊任意功能 → 強制輸入 QQ 號/密碼 → 提示「軟件過期，分享至 5 群解鎖」 → 實際已將帳密 POST 到黑客服務器。
• 傳播**：QQ 群/空間/郵件/論壇發布「破解工具」，利用用戶貪圖便利/虛榮心理。

卡巴斯基/主流廠商防禦建議

1. **實時防護常開**：文件/行為/網絡/內存四引擎聯動。
2. **拒絕不明文件**：不運行來路不明的「破解/外掛/刷鑽/加速器」程序。
3. **賬號保護升級**：
   • 開啟 **裝置鎖 / 手機令牌 / 人臉識別** (騰訊/微信/支付寶均提供)。
   • 設置 **異地登錄短信/郵件/推送告警**。
   • 定期檢查 **登錄設備管理**，移除不可信設備。
4. **系統加固**：
   • 啟用 **Controlled Folder Access** (Win10/11 內置勒索防護) 保護關鍵目錄。
   • 開啟 **Exploit Protection** (EMET 後繼) 緩解鉤子注入/ROP 攻擊。
   • 應用程序控制 (AppLocker/WDAC) 限制未簽名腳本/可執行文件運行。
5. **網絡層面**：DNS 過濾 (阻斷已知 C2/釣魚域名)、TLS 檢測 (識別異常加密流量)。

應急響應 SOP (發現帳號被盜)

1. 立即在**安全設備/可信設備**上修改密碼、啟用二次驗證、踢下線所有會話。
2. 檢查郵箱/手機綁定是否被篡改，恢復綁定。
3. 掃描全盤 (WinPE/急救盤離線掃描最徹底)，清除木馬/後門/鉤子殘留。
4. 向平台官方客服提交申訴 (提供註冊時間/常用地/歷史密碼/消費記錄等佐證)。
5. 若涉及財產損失/隱私洩露，**保留證據報警** (網安部門受理網絡犯罪)。