QQ 病毒層出不窮，利用社交工程、IE 漏洞、木馬程式竊取帳號、發送垃圾訊息、修改首頁、盜取遊戲帳號。本文詳細剖析「QQ 尾巴」、「QQ 緣」、「武漢男生」、「愛情森林」四大主流病毒家族（含變種）的傳播手法、檔案特徵、登錄檔修改、進程名稱，並提供圖文並茂的手動清除步驟，助你徹底淨化系統。

一、「QQ 尾巴」病毒

特徵

• 利用 IE iFrame 漏洞，瀏覽掛馬網頁即中招，無需執行檔案。
• 駐留後，QQ 發送訊息時自動在尾端插入廣告連結（如 https://www.mm**.com、https://www.ktv***.com 等）。
• 系統啟動項出現 Sendmess.exe、wwwo.exe；Windows 目錄下有 qq32.INI 記錄廣告詞。

清除步驟

1. 執行 msconfig 禁用上述啟動項。
2. 刪除 C:\WINDOWS\qq32.INI。
3. 進入 DOS 模式刪除 Sendmess.exe、wwwo.exe。
4. 安裝 IE iFrame 漏洞修補程式，升級 IE 至最新版本（建議 IE6 SP1 以上）。

二、「QQ 緣」病毒

特徵

• VB 撰寫、ASPack 壓縮，透過 QQ 訊息傳播。
• 修改 IE 首頁為 https://www.**115.com/。
• 發送含病毒下載連結的誘騙訊息（電子書《緣》、南京大屠殺紀念等）。
• 釋放檔案：noteped.exe、Taskmgr.exe（偽裝工作管理員）至 C:\windows\system\、C:\Windows\、C:\Windows\system32\。
• 登錄檔 HKLM\Software\Microsoft\Windows\CurrentVersion\Run 添加 Taskmgr 啟動項。

清除步驟

1. 工作管理員結束偽裝的 Taskmgr.exe 進程（注意辨識兩個同名進程）。
2. 刪除上述四個檔案位置的 noteped.exe、Taskmgr.exe。
3. 編輯登錄檔刪除 Run 下的 Taskmgr 鍵值。
4. 重開機完成清除。

三、「武漢男生」病毒（新變種）

特徵

• 利用 IE Object Data 漏洞（Content-Type: application/hta）下載執行 leoexe.gif（實為 exe）、leo.asp（釋放器）。
• 結束多數防毒軟體、防火牆、專殺工具進程。
• 定時透過 QQ 發送含病毒網址訊息。
• 自我複製至系統目錄：updater.exe、Systary.exe、sysnot.exe，並在 RunServices 添加 windows update 啟動項。
• 修改 .txt、.exe 檔案關聯指向病毒本體，雙擊任意 txt/exe 即觸發。
• 竊取「傳奇」遊戲帳號密碼並郵寄給駭客。

清除步驟

1. 刪除系統目錄下三個病毒檔案。
2. 刪除 RunServices 下的 windows update 鍵值。
3. 以最新版防毒軟體全盤掃描清除。

四、「愛情森林」病毒及其變種

原版（hack.exe，Delphi/UPX）

• 複製為 %System%\Explorer.exe 偽裝系統檔。
• Run 添加 Explorer 鍵值指向該檔。
• 從 https://orchid.diy.163.com/ 下載 update.exe 執行進一步破壞。

清除

1. 工作管理員結束第二個 Explorer.exe 進程（系統真正的 Explorer 在第一個）。
2. 刪除 %System%\Explorer.exe 或進 DOS 刪除。
3. 刪除登錄檔 Run 下的 Explorer 鍵值。

變種一

• 釋放 rundll.exe、sysedit32.exe 至系統目錄。
• Run 添加 intarnet 指向 rundll.exe。
• 修改 HKCR\txtfile\shell\open\command 預設值為 sysedit32.exe，劫持記事本開啟動作。
• 透過 QQ 發送 https://sckiss.yeah.net 誘導點擊。
• 嘗試竊取 QQ 密碼並郵寄（過程中會彈出 Coremail 組件對話框）。

清除

1. 結束 RUNDLL、SYSEDIT32 進程。
2. 刪除系統目錄下同名檔案（約 1,781,752 bytes）。
3. 刪除登錄檔 Run 下 intarnet 及 txtfile\shell\open\command 異常鍵值。

五、通用防護建議

• 及時安裝 IE 累積安全性更新，修補 iFrame、Object Data 等漏洞。
• 啟用防火牆、即時防毒，定期更新病毒碼。
• 不輕信陌生連結、不執行不明來源檔案。
• 定期備份重要資料，養成帳號密碼分級管理習慣。