一、知己知彼：啊拉 QQ 大盜運作流程

1. 兩種收信模式

• 郵箱收信：配置 SMTP 伺服器（如 smtp.163.com）、發信帳號密碼、收信箱（分靚號/普通號）。測試成功後生成木馬。
• 網站收信：上傳 愛永恆，愛保姆qq.asp 至支援 ASP 空間，設定 Asp 接口 URL，木馬將盜號資料存入同目錄 qq.txt。

2. 木馬附加參數

• 「運行後關閉 QQ」：60 秒後關閉 QQ，重新登入時攔截帳密。
• 「還原精靈自動轉存」：適用網吧環境，重開機仍持久化。

3. 傳播手段

偽裝圖片、小遊戲、捆綁軟體，社工誘騙執行。

二、慧眼識別：系統中毒徵兆

• QQ 自動關閉。
• 執行某程式後該程式消失。
• 防毒軟體自動關閉。
• 訪問防毒網站瀏覽器自動關閉。
• 郵件監控彈出發送警告。
• 防火牆（如天網）警告 NTdhcp.exe 存取網路。

三、手工查殺步驟

1. 工作管理員結束 NTdhcp.exe 進程。
2. 資料夾選項顯示受保護系統檔案。
3. 刪除 C:\Windows\System32\NTdhcp.exe。
4. 註冊表刪除 HKLM\Software\Microsoft\Windows\CurrentVersion\Run\NTdhcp.exe 鍵值。

四、一鍵卸載

下載「啊拉 QQ 大盜」配置程式 → 點擊「卸載程式」按鈕 → 自動清除木馬（僅限此木馬有效）。

五、以退為進：反制盜號者

1. 利用明文郵箱帳密漏洞（僅限郵箱收信模式）

木馬程式內以明文儲存盜號者郵箱帳號密碼。使用十六進制編輯器（如 UltraEdit）開啟木馬檔案，搜尋 SMTP 字串即可提取帳密 → 登入盜號者郵箱刪除盜號郵件、修改密碼、鎖定帳號。

2. 網路嗅探攔截郵件發送封包

• x-sniff（命令列）：xsniff.exe -pass -hide -log pass.log 後台運行，過濾密碼資訊存入日誌。
• Sniffer（圖形介面）：需安裝 WinPcap，選擇網卡 → 開始嗅探 → 登入 QQ 觸發木馬發信 → 介面顯示捕獲郵箱帳密。

取得帳密後同樣可控制盜號者郵箱，反制盜號行為。

法律與道德提醒

反制行為（登入他人郵箱、修改密碼）在法律上屬灰色地帶，建議僅限刪除自身被盜資料、不進一步破壞，並同步報警處理。最佳策略仍是預防：不執行不明程式、啟用 QQ 裝置鎖/雙因子認證、定期修改密碼。