現象：佔據 40% 市場的「免費工具」

• 百度搜尋「QQ 表情」約 166 萬頁，「多多 QQ 表情」約 66 萬頁，市場佔有率近 40%。
• 官方宣稱：免費、一鍵導入、可從「新增/移除程式」卸載、向站長支付 0.05 元/裝機捆綁費。

真相：公開捆綁 UPDATE 病毒

安全圈朋友證實：安裝包僅 47 KB，表面可卸載，實則捆綁 UPDATE 病毒（Norton、Rising 已收錄特徵碼）。此已超出流氓軟體範疇，屬純惡意代碼。

UPDATE 病毒行為清單

類型	動作
顯性	鎖定首頁 → www.9991.com
	彈窗 → www.chanet.com.cn/click.cgi?a=6606&d=3086&u=
	彈窗 → www.b2b2.net/51gg/index.html
	彈窗 → www.7mp3.com
	彈窗 → www.600001.com/、www.600005.com/
	隱性	訪問 file.qqhelper.com/up/update.dat 檢查更新
	下載執行 www.yulexingkong.com/mop/uninstalldrv.exe、www.ha0l23.com/softbaby/uninstalltmp.exe
	上傳統計數據至 tongji.qqhelper.com/tj/tj?...

落地文件結構

C:\Program Files\Common Files\UPDATE\
    update.dat
    update.exe
C:\Program Files\Common Files\SAND\
    updatesr.ini
    svr.dat
    qqfacerclient.exe
    twunk_8.exe   (潛伏中，暫未見惡意行為)

商業動機：病毒驅動的流量火箭

• 9991.com 成立僅 3 個月，Alexa 全球排名衝入前 100，Reach 值 1 萬，流量約達新浪 1/7。
• 同樣手法推高 woyaoshang.com（鏡像站）、chanet.com.cn、b2b2.net 等站點排名。
• 核心引擎正是 UPDATE 病毒的大規模靜默安裝與彈窗導流。

幕後黑手指向

• woyaoshang.com 域名郵箱 whocool@163.com，百度搜尋指向 龐升東（曾因 3721、中搜等流氓軟體聞名）。
• 表面證據雖指向龐升東，但深層利益鏈條仍待司法機關進一步揭露。