本文目录一览：
木马程序到底是什么?
荷马史诗中描述一位名为Hellen的希腊皇后被风流倜傥的特洛伊王国的王子巴德里诱骗回国，于是希腊国王派兵攻打特洛伊城，此番战争打了十年，却始终无法攻陷特洛伊城，于是想出一条计策，制作一匹大木马，里面藏满全副武装的士兵，留下木马后徉装撤退，特洛伊人果然上当，以为希腊人已退兵，当晚就便把木马拉进城中，打算来一个欢天喜地的庆功宴。谁知，就在大家兴高采烈喝酒庆功之际，木马中的精锐部队早已暗中打开城门，一举来了个里应外合的大抢攻！顿时，一个美丽的城市变成了一堆瓦砾、焦土、毁灭于历史中……。此即著名的特洛伊战争，也就是木马屠城记，亦称特洛伊木马(Trojan Horse)的典故。
我们所要谈的当然不是这个希腊故事，但我们要谈的木马(也称“特洛伊木马”)，原理跟这个故事差不多(所以称之为木马啦！)。所谓的木马程序其实就是一种远程控制程序，它会有一个Client(客户)端程序(由发木马的人控制)，一个Server(服务器)端程序给不明真相者运行，只要同时在线就能通过Client端程序来控制对方的计算机。其做法也就是首先把木马伪装成有用的程序，通过和其他应用程序(比如外挂)结合，或是和图片、声音结合，然后诱惑你下载或直接寄给你，当你运行后，木马就会在每次开机时自动运行，对方就通过木马在你电脑中打开的一个秘密端口(port)用Client端连上你的电脑。
2、木马不3、是病毒
木马和病毒的根本区别是木马程序没有复制能力，而病毒会复制、传染。木马入侵后会地为你修改注册表、放置后门程序(也就是打开一个port)、开机驻入内存，但是不会马上发作，电脑也依旧平静如初，然而是一颗随时可能引爆的炸弹。
4、木马的功能与作用
不管以前你认为木马有多么神秘，其实木马程序就是一个网络上的Client/Server的概念。以下简单介绍一些木马程序的功能：
1、远程监控
可以控制对方的鼠标、键盘和监视对方屏幕。
2、记录密码
至于如何记录，下面再具体解释。
3、取得电脑主机的信息资料
如果你在电脑用户账户填上真名的话，对方就可能知道你的姓名了。
4、远程控制
也就是你能做到的，对方也能做到。
5、发送信息
要是对方哪天想和你聊聊的话。
5、木马是如何盗号的
当用户登陆到九城的服务器时，会有一个专门的程序负责用户登陆并向服务器发送确认ID的请求(具体在哪个文件我不知道)，显然，在这个程序中包含了用户账号密码的资料，那么，针对为盗取MU用户ID而设计的木马程序先会截取这个文件，再由木马程序来显示那个登陆界面，等你输入了帐号密码后，HOHO~~，木马就偷到了，然后按照入侵者的指定存放在某个目录下(可见，仅仅阻止非法邮件发送还是防不胜防的)，或者直接寄回给入侵者(目前此法较多，大家可以通过禁用stmp端口??负责发送邮件的port来防范)。
6、木马如何进入我们的电脑
小偷要到你家偷东西，一般不会走正门，而是选择通过阳台、窗户进入。这里的“正门”指你电脑的IP地址，“阳台、窗户”就是电脑上网开启网络服务的端口(port)。如果把网络形容为道路的话，端口就相当于路上的各条行车道，有的走汽车，有的走自行车，有的只能行人，这样网路上运行的有秩序，不会乱。那么除了我们常用的http、stmp、pop3、ftp等服务端口，电脑“黑客”会通过木马直接在你的电脑上放置一个后门程序(Backdoor)，只要你运行了这个程序，你的电脑已经是为“黑客”开启了一道大门。于是，他就可以通过这个大门大摇大摆地进来。
7、如何检查和清除木马？
并不是所有的木马程序都能被杀毒软件检测到，即使是扫除木马的工具也只能扫除一些常见的木马而已，最主要的防止方法就是预防。对于MU玩家来说，就是要格外小心外挂程序，因为许多外挂程序都藏匿了木马。避开木马的最好方法就是不用外挂。
另外，还要注意以下几点：
1.小心exe文件
小心一些扩展名为.exe的文件(最好解除隐藏扩展名的设置，方法为：在资源管理器中选择“查看”选项，解除隐藏扩展名的设置)，因为木马程序的扩展名一定是“.exe”。
2.用netstat -a来查看端口
端口是木马的生命之源，没有端口它就无法和外界通信，更不要说远程控制了。先切换到MS-DOS方式，在C：\提示符后键入netstat -a就可以将当前电脑中所有连接端口的情况列出，如果发现有异常的端口开启，就很有可能是一个“后门”。
3.检查注册表和系统文件
由于木马有开机后自动运行的特性，而自动运行就必须在系统中作一些更改，这些更改一般在注册表和系统文件中可以发现。检查Registry-Run，“开始”→“运行”，键入regedit，进入注册表编辑器，到HKEY_LOCAL_MACHINE\Software\Microsoft\CurrentVersion\Run中查看是否有不应该自动运行的程序，有的话就要删除那些字符串，木马程序就不能自动运行了。
检查Win.ini,用记事本打开C:\Windows\win.ini这个文件。其中“load= run=”后都应为空，如果有run=xxxx.exe，就尽快删除它们。
检查system.ini,用记事本打开C:\Windows\system.ini。检查shell=Explorer.exe后有没有xxx.exe,有的话就很可能是木马，删！
4.通过一些防木马软件比较有名的防护程序有：Tauscan,Lockdown2000,Pview,NetSentry等等，大家看着用吧
什么是木马？？？？？
什么是木马?
特洛伊木马(以下简称木马)，英文叫做“Trojan house”，其名称取自希腊神话的特洛伊木马记。
它是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。
所谓隐蔽性是指木马的设计者为了防止木马被发现，会采用多种手段隐藏木马，这样服务端即使发现感染了木马，由于不能确定其具体位置，往往只能望“马”兴叹。
所谓非授权性是指一旦控制端与服务端连接后，控制端将享有服务端的大部分操作权限，包括修改文件，修改注册表，控制鼠标，键盘等等，而这些权力并不是服务端赋予的，而是通过木马程序窃取的。
从木马的发展来看，基本上可以分为两个阶段。
最初网络还处于以UNIX平台为主的时期，木马就产生了，当时的木马程序的功能相对简单，往往是将一段程序嵌入到系统文件中，用跳转指令来执行一些木马的功能，在这个时期木马的设计者和使用者大都是些技术人员，必须具备相当的网络和编程知识。
而后随着WINDOWS平台的日益普及，一些基于图形操作的木马程序出现了，用户界面的改善，使使用者不用懂太多的专业知识就可以熟练的操作木马，相对的木马入侵事件也频繁出现，而且由于这个时期木马的功能已日趋完善，因此对服务端的破坏也更大了。
所以所木马发展到今天，已经无所不用其极，一旦被木马控制，你的电脑将毫无秘密可言。
鉴于木马的巨大危害性，我们将分原理篇，防御与反击篇，资料篇三部分来详细介绍木马，希望大家对特洛伊木马这种攻击手段有一个透彻的了解。
原 理 篇
基础知识
在介绍木马的原理之前有一些木马构成的基础知识我们要事先加以说明,因为下面有很多地方会提到这些内容。
一个完整的木马系统由硬件部分，软件部分和具体连接部分组成。
(1)硬件部分：建立木马连接所必须的硬件实体。 控制端：对服务端进行远程控制的一方。 服务端：被控制端远程控制的一方。 INTERNET：控制端对服务端进行远程控制，数据传输的网络载体。
(2)软件部分：实现远程控制所必须的软件程序。 控制端程序：控制端用以远程控制服务端的程序。 木马程序：潜入服务端内部，获取其操作权限的程序。 木马配置程序：设置木马程序的端口号，触发条件，木马名称等，使其在服务端藏得更隐蔽的程序。
(3)具体连接部分：通过INTERNET在服务端和控制端之间建立一条木马通道所必须的元素。 控制端IP，服务端IP：即控制端，服务端的网络地址，也是木马进行数据传输的目的地。 控制端端口，木马端口：即控制端，服务端的数据入口，通过这个入口，数据可直达控制端程序或木马 程序。
木马原理
用木马这种黑客工具进行网络入侵，从过程上看大致可分为六步(具体可见下图)，下面我们就按这六步来详细阐述木马的攻击原理。
一.配置木马
一般来说一个设计成熟的木马都有木马配置程序，从具体的配置内容看，主要是为了实现以下两方 面功能：
(1)木马伪装：木马配置程序为了在服务端尽可能的好的隐藏木马，会采用多种伪装手段，如修改图标 ，捆绑文件，定制端口，自我销毁等，我们将在“传播木马”这一节中详细介绍。
(2)信息反馈：木马配置程序将就信息反馈的方式或地址进行设置，如设置信息反馈的邮件地址，IRC号 ，ICO号等等，具体的我们将在“信息反馈”这一节中详细介绍。
二.传播木马
(1)传播方式:
木马的传播方式主要有两种:一种是通过E-MAIL,控制端将木马程序以附件的形式夹在邮件中发送出 去, 收信人只要打开附件系统就会感染木马;另一种是软件下载，一些非正规的网站以提供软件下载为 名义， 将木马捆绑在软件安装程序上，下载后，只要一运行这些程序，木马就会自动安装。
(2)伪装方式:
鉴于木马的危害性,很多人对木马知识还是有一定了解的,这对木马的传播起了一定的抑制作用,这 是木马设计者所不愿见到的,因此他们开发了多种功能来伪装木马,以达到降低用户警觉,欺骗用户的目 的。
(一)修改图标
当你在E-MAIL的附件中看到这个图标时,是否会认为这是个文本文件呢?但是我不得不告 诉你,这也有可能是个木马程序,现在 已经有木马可以将木马服务端程序的图标改成HTML,TXT, ZIP等各种文件的图标,这有相当大的迷 惑性,但是目前提供这种功能的木马还不多见,并且这种 伪装也不是无懈可击的,所以不必整天提 心吊胆,疑神疑鬼的。
(二)捆绑文件
这种伪装手段是将木马捆绑到一个安装程序上,当安装程序运行时,木马在用户毫无察觉的 情况下 ,偷偷的进入了系统。至于被捆绑的文件一般是可执行文件(即EXE,COM一类的文件)。
(三)出错显示
有一定木马知识的人都知道,如果打开一个文件,没有任何反应,这很可能就是个木马程序, 木马的 设计者也意识到了这个缺陷,所以已经有木马提供了一个叫做出错显示的功能。当服务 端用户打开木 马程序时,会弹出一个如下图所示的错误提示框(这当然是假的),错误内容可自由 定义,大多会定制成 一些诸如“文件已破坏，无法打开的！”之类的信息，当服务端用户信以 为真时,木马却悄悄侵入了 系统。
(四)定制端口
很多老式的木马端口都是固定的,这给判断是否感染了木马带来了方便,只要查一下特定的 端口就 知道感染了什么木马,所以现在很多新式的木马都加入了定制端口的功能,控制端用户可 以在1024---65535之间任选一个端口作为木马端口(一般不选1024以下的端口)，这样就给判断 所感染木马类型带 来了麻烦。
(五)自我销毁
这项功能是为了弥补木马的一个缺陷。我们知道当服务端用户打开含有木马的文件后，木马 会将自己拷贝到WINDOWS的系统文件夹中(C:\WINDOWS或C:\WINDOWS\SYSTEM目录下)，一般来说 原木马文件 和系统文件夹中的木马文件的大小是一样的(捆绑文件的木马除外),那么中了木马 的朋友只要在近来 收到的信件和下载的软件中找到原木马文件,然后根据原木马的大小去系统 文件夹找相同大小的文件, 判断一下哪个是木马就行了。而木马的自我销毁功能是指安装完木 马后，原木马文件将自动销毁，这 样服务端用户就很难找到木马的来源，在没有查杀木马的工 具帮助下，就很难删除木马了。
(六)木马更名
安装到系统文件夹中的木马的文件名一般是固定的，那么只要根据一些查杀木马的文章,按 图索骥在系统文件夹查找特定的文件,就可以断定中了什么木马。所以现在有很多木马都允许控 制端用户自由定制安装后的木马文件名，这样很难判断所感染的木马类型了。
三.运行木马
服务端用户运行木马或捆绑木马的程序后,木马就会自动进行安装。首先将自身拷贝到WINDOWS的 系统文件夹中(C:\WINDOWS或C:\WINDOWS\SYSTEM目录下),然后在注册表,启动组,非启动组中设置好木马 的触发条件 ,这样木马的安装就完成了。安装后就可以启动木马了，具体过程见下图：
(1)由触发条件激活木马
触发条件是指启动木马的条件,大致出现在下面八个地方:
1.注册表:打开HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\下的五个以Run 和RunServices主键,在其中寻找可能是启动木马的键值。
2.WIN.INI:C:\WINDOWS目录下有一个配置文件win.ini，用文本方式打开，在[windows]字段中有启动 命令 load=和run=,在一般情况下是空白的,如果有启动程序,可能是木马。 3.SYSTEM.INI:C:\WINDOWS目录下有个配置文件system.ini，用文本方式打开，在[386Enh],[mic]， [drivers32]中有命令行,在其中寻找木马的启动命令。
4.Autoexec.bat和Config.sys:在C盘根目录下的这两个文件也可以启动木马。但这种加载方式一般都 需要控制端用户与服务端建立连接后，将已添加木马启动命令的同名 文件上传 到服务端覆盖这两个文件才行。
5.*.INI:即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马 启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。
6.注册表:打开HKEY_CLASSES_ROOT\文件类型\shell\open\command主键,查看其键值。举个例子,国产 木马“冰河”就是修改HKEY_CLASSES_ROOT\txtfile\shell\open\command下的键值,将“C :\WINDOWS \NOTEPAD.EXE %1”该为“C:\WINDOWS\SYSTEM\SYXXXPLR.EXE %1”，这时你双 击一个TXT文件 后，原本应用NOTEPAD打开文件的，现在却变成启动木马程序了。还要说明 的是不光是TXT文件 ，通过修改HTML，EXE，ZIP等文件的启动命令的键值都可以启动木马 ，不同之处只在于“文件类型”这个主键的差别，TXT是txtfile,ZIP是WINZIP，大家可以 试着去找一下。
7.捆绑文件:实现这种触发条件首先要控制端和服务端已通过木马建立连接，然后控制端用户用工具 软件将木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使 木马被删 除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。
8.启动菜单:在“开始---程序---启动”选项下也可能有木马的触发条件。
(2)木马运行过程
木马被激活后，进入内存，并开启事先定义的木马端口，准备与控制端建立连接。这时服务端用 户可以在MS-DOS方式下，键入NETSTAT -AN查看端口状态，一般个人电脑在脱机状态下是不会有端口 开放的，如果有端口开放，你就要注意是否感染木马了。下面是电脑感染木马后，用NETSTAT命令查 看端口的两个实例：
其中①是服务端与控制端建立连接时的显示状态，②是服务端与控制端还未建立连接时的显示状态。
在上网过程中要下载软件，发送信件，网上聊天等必然打开一些端口，下面是一些常用的端口：
(1)1---1024之间的端口：这些端口叫保留端口，是专给一些对外通讯的程序用的，如FTP使用21， SMTP使用25，POP3使用110等。只有很少木马会用保留端口作为木马端口 的。
(2)1025以上的连续端口：在上网浏览网站时，浏览器会打开多个连续的端口下载文字，图片到本地 硬盘上，这些端口都是1025以上的连续端口。
(3)4000端口：这是OICQ的通讯端口。
(4)6667端口：这是IRC的通讯端口。 除上述的端口基本可以排除在外，如发现还有其它端口打开，尤其是数值比较大的端口，那就要怀疑 是否感染了木马，当然如果木马有定制端口的功能，那任何端口都有可能是木马端口。
四.信息泄露:
一般来说，设计成熟的木马都有一个信息反馈机制。所谓信息反馈机制是指木马成功安装后会收集 一些服务端的软硬件信息，并通过E-MAIL，IRC或ICO的方式告知控制端用户。下图是一个典型的信息反 馈邮件。
从这封邮件中我们可以知道服务端的一些软硬件信息，包括使用的操作系统，系统目录，硬盘分区况， 系统口令等，在这些信息中，最重要的是服务端IP，因为只有得到这个参数，控制端才能与服务端建立 连接，具体的连接方法我们会在下一节中讲解。
五.建立连接：
这一节我们讲解一下木马连接是怎样建立的 。一个木马连接的建立首先必须满足两个条件：一是 服务端已安装了木马程序；二是控制端，服务端都要在线 。在此基础上控制端可以通过木马端口与服 务端建立连接。为了便于说明我们采用图示的形式来讲解。
如上图所示A机为控制端，B机为服务端，对于A机来说要与B机建立连接必须知道B机的木马端口和IP地 址，由于木马端口是A机事先设定的，为已知项，所以最重要的是如何获得B机的IP地址。获得B机的IP 地址的方法主要有两种：信息反馈和IP扫描。对于前一种已在上一节中已经介绍过了，不再赘述，我们 重点来介绍IP扫描，因为B机装有木马程序，所以它的木马端口7626是处于开放状态的，所以现在A机只 要扫描IP地址段中7626端口开放的主机就行了，例如图中B机的IP地址是202.102.47.56，当A机扫描到 这个IP时发现它的7626端口是开放的，那么这个IP就会被添加到列表中，这时A机就可以通过木马的控 制端程序向B机发出连接信号，B机中的木马程序收到信号后立即作出响应，当A机收到响应的信号后， 开启一个随即端口1031与B机的木马端口7626建立连接，到这时一个木马连接才算真正建立。值得一提 的要扫描整个IP地址段显然费时费力，一般来说控制端都是先通过信息反馈获得服务端的IP地址，由于 拨号上网的IP是动态的，即用户每次上网的IP都是不同的，但是这个IP是在一定范围内变动的，如图中 B机的IP是202.102.47.56，那么B机上网IP的变动范围是在202.102.000.000---202.102.255.255，所以 每次控制端只要搜索这个IP地址段就可以找到B机了。
六.远程控制：
木马连接建立后，控制端端口和木马端口之间将会出现一条通道，见下图
控制端上的控制端程序可藉这条通道与服务端上的木马程序取得联系,并通过木马程序对服务端进行远 程控制。下面我们就介绍一下控制端具体能享有哪些控制权限，这远比你想象的要大。
(1)窃取密码：一切以明文的形式，*形式或缓存在CACHE中的密码都能被木马侦测到，此外很多木马还 提供有击键记录功能，它将会记录服务端每次敲击键盘的动作，所以一旦有木马入侵， 密码将很容易被窃取。
(2)文件操作：控制端可藉由远程控制对服务端上的文件进行删除,新建,修改,上传,下载,运行,更改属 性等一系列操作,基本涵盖了WINDOWS平台上所有的文件操作功能。
(3)修改注册表：控制端可任意修改服务端注册表，包括删除，新建或修改主键，子键，键值。有了这 项功能控制端就可以禁止服务端软驱，光驱的使用，锁住服务端的注册表，将服务端 上木马的触发条件设置得更隐蔽的一系列高级操作。
(4)系统操作：这项内容包括重启或关闭服务端操作系统，断开服务端网络连接，控制服务端的鼠标， 键盘，监视服务端桌面操作，查看服务端进程等，控制端甚至可以随时给服务端发送信 息，想象一下，当服务端的桌面上突然跳出一段话，不吓人一跳才怪
qq病毒的典型QQ病毒
1、病毒名称：Trojan/QQMsg.Zigui
中 文 名：“QQ龟”
病毒类型：木马
影响平台：Win 9x/2000/XP/NT/Me/2003
“QQ龟”是一个木马程序，通过向QQ好友群发病毒程序文件进行传播。文件名极具欺骗性，甚至调侃脑白金广告 “今年过年不收礼，收礼只收白骨精（搞笑版广告）”，继而盗取用户机密信息，并将盗取的信息发送给黑客。 2、病毒名称：I-Worm/QQ.Porn
中 文 名：QQ爱虫
传播方式：网络
病毒类型：蠕虫
影响平台：Win 9x/2000/XP/NT/Me/2003
QQ爱虫是通过在线QQ发送病毒文件的网络蠕虫，该病毒会通过QQ发送名为“蔡依林短裙显诱惑[转帖][贴图]”等带毒文件，病毒文件名还会包含众多带有色情和挑逗性的文字。病毒运行后会从黑客网站下载另一病毒“结巴” (Backdoor/Jieba.2004)，后者可以捕获Win9x/Win2k/WinXp下的几乎所有普通窗口的登录密码。 小心误入爱情森林，恶意网页是帮凶。2002年8月23日下午，瑞星全球病毒监控中心首次截获了一个传染能力极强的恶性QQ病毒――“爱情森林”（Trojan.sckiss）。据瑞星公司的反病毒工程师介绍，此病毒会利用QQ软件，诱惑用户打开一恶意网页，而该网页会自动下载病毒并修改注册表产生破坏。
病毒类型：木马病毒
发作时间：随机
传播方式：邮件/网络/QQ诱骗
感染对象：网络
警惕程度：★★★★
病毒介绍：
此病毒是已知的第一个利用QQ进行传播并破坏的恶性木马病毒。它利用本机QQ,在用户不知道的情况下向用户的好友发送一句消息：“(网址不便展现)这个你去看看！很好看的”一旦登陆此网站，便会中毒。因为此网站的主页是一个恶意网页，它会自动下载“爱情森林”病毒并执行，从而对用户计算机造成破坏。
此病毒具有以下四大特色：
一、 利用邮件包装，形成自启动邮件。
病毒的原始文件是一个名为HACK.EXE的木马病毒，病毒作者为了能使病毒“初战告捷”，迅速占领用户计算机，利用了OUTLOOK的邮件漏洞，将原始病毒包装成一个可以预览执行的病毒邮件：s.eml,然后放入一个恶意网页中，等待下载。
二、 利用QQ工具，发送伪装信息。
如果用户不小心点击或预览了病毒邮件，病毒便可执行。病毒执行时会搜索用户的QQ程序，如果用户在线的话，病毒会伪装成用户，给用户的所有在线的好友发送一条用户无法查觉的隐藏信息，此信息的内容为：“(网址不便展现)这个你去看看！很好看的”如果用户的好友在收到了此信息后，因为好奇而点击了此链接，则会进入一个恶意网页。
三、 利用恶意网页帮凶，导致病毒泛滥。
该恶意网页用JS语言编写，利用了JAVA EXPLOIT漏洞，所以不经用户的允许，便可以悄悄运行自动下载“爱情森林”病毒邮件(s.eml)并执行。然后此恶意网页会修改用户注册表进行破坏，将用户的IE标题改为：“(网址不便展现)/爱情森林”，使用户的“运行”菜单项无法使用，并且将用户的IE默认首页改为：“(网址不便展现)”，此恶意网页还将此网址加入注册表中的RUN自启动项。这样以来，无论用户启动计算机还是启动IE浏览器，都可以自动链接到恶意网页，感染病毒。
四、 侵占系统目录，继续“生生不息”。
“爱情森林”病毒通过QQ发送信息之后，便开始进行本机的感染。病毒首先改名为：“EXPLORER.EXE”，然后将之拷贝到WINDOWS的系统目录(SYSTEM或SYSTEM32)下，这样用户即使发现也不会起疑心，然后病毒修改注册表，在RUN的自启动项中建立一个EXPLORER的键值，将病毒路径加入其中，一旦计算机重启，病毒便可自动运行，再次进行以上感染。
爱情森林II病毒
浪漫的“爱情森林”又升级了，所有的计算机用户都应该注意，不要被浪漫的病毒骗了。
病毒类型：木马病毒
发作时间：随机
传播方式：邮件/网络
感染对象：网络
警惕程度：★★★★
病毒介绍：
1.此病毒是爱情森林的变种，当第一代的病毒网址被封掉以后，病毒又想出了新招。
2.该病毒将自己复制多份到windows的系统目录，并修改多项注册表。
3.当用户点击任何一个.exe文件时，病毒会根据特定文件名动态生成一个对话框：“某某文件发现引导区病毒，请到dos下面用A盘！”一旦当用户点确定时，文件即被删除。
4.此病毒还会修改本地的hosts文件不让用户登入一些反毒网站，使用户无法上网升级病毒库最新版本。
爱情森林C版病毒
“爱情森林”病毒又出C版，请用户及时准备，以防不测。
病毒类型：木马病毒
发作时间：随机
传播方式：网络
感染对象：网络
警惕程度：★★★★
病毒介绍：
爱情森林病毒的又一个新变种！此病毒运行时建立5个病毒复本：WIN386.SWP、WINUPDATE.EXE、INTERNETS.EXE、WINVER.EXE、HOSTS,并将系统的交换文件替换掉，而且还伪装成系统的更新文件躲在启动目录中。另外，病毒会将可执行的关联改成病毒体，这样用户运行其他程序时会直接运行病毒体，而且有些程序运行时还会被此病毒删除。
此病毒有如下特征：
1. 建立5个病毒副本，系统启动后病毒会自动运行： C:\WINDOWS\WIN386.SWP C:\WINDOWS\START MENU\PROGRAMS\WINUPDATE.EXE C:\WINDOWS\SYSTEM32\INTERNETS.EXE C:\WINDOWS\WINUPDATE.EXE C:\WINDOWS\WINVER.EXE C:\WINDOWS\HOSTS 2. 将注册表中的HKCR\exefile\shell\open\command项的内容改为：C:\WINDOWS\winupdate.exe %1 %*，这样用户双击任何程序都会不启动程序而直接启动病毒。
3. 有时一些启动的应用程序还会被此病毒莫名其妙地删除。 于2002年10月18日出现的新型恶性QQ病毒“QQ伪装专家”（Trojan.QQcamoufleur）虽然已经被瑞星公司捕获，但鉴于这个病毒有出现新版本的可能，所以广大用户还是应该做好防毒准备。
病毒类型：木马病毒
发作时间：随机
传播方式：网络
感染对象：网络
警惕程度：★★★★
病毒介绍：
此病毒用高级语言编写并用aspack工具压缩。病毒会伪装成真正的QQ程序启动，并在桌面上建立一个名为：“QQ2000b”的快捷方式，而真正QQ的快捷方式是：“腾讯QQ”。病毒运行时会将用户的QQ号码与密码偷偷发送到指定邮箱。病毒有极强的网络传染能力，如果发现局域网中有共享目录，便将自身拷贝到共享目录下，诱使用户运行。病毒会通过邮件系统传播。建立标题为：“这是我的照片”，附件为：“photo.gif.exe”的病毒邮件。另外，病毒还会攻击打印机。一旦检测到打印机的存在，病毒便会不断地通过打印机大量打印病毒代码，损耗打印机，浪费纸张。
病毒一般会有如下特征：
1. 使打印机无故打印乱码。
2. 在桌面上建立一个名为：“QQ2000b”的快捷方式。
3. 启动后会将自己拷贝到系统目录下，并改名为 windll.exe,photo.gif.exe 和 notepads.exe。
4. 病毒会在注册表的HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run项中添加一个键值为：WinIme,内容为：C:\WINNT\SYSTEM32\windll.exe的自启项。
5. 病毒会修改注册表，将命令接口（HKEY_CLASSES_ROOT\Txtfile\shell\open\command)改为病毒体，这样即使是自启动项被用户删除了，病毒也会照常运行。
6. 病毒会利用邮件进行传播，产生标题为：“这是我的照片”，附件为：“photo.gif.exe”的病毒邮件。 Worm.Gop.3(QQ窃手）是近日出现的一种新型的蠕虫病毒，它以攻破聊天工具OICQ密码为目标，同时也会恶意泄漏用户的重要信息。此病毒蔓延速度极快，据瑞星全球病毒监测网报告，这是一种传播力极强的病毒，国内也已经发现病毒信息，所以广大用户应紧急采取预防措施，避免遭受损失。
病毒名称：Worm.Gop.3
别名：QQ窃手
病毒类型：蠕虫
发作时间：随机
传播方式：网络/文件
感染对象：网络/文件
警惕程度：★★★
病毒介绍：
Worm.Gop.3(QQ窃手)病毒主要通过邮件形式传播，最具危害的是：它具有与尼姆达病毒类似的“预览信件即受感染”的能力，这样用户不用打开病毒邮件就已经遭受感染。它具有传染极快、结构复杂等特点，它所造成的危害主要就是泄漏用户ICQ(OICQ)密码，同时将用户在感染前处理的最后一个文件（近期文件，对用户来讲往往很重要）通过附件形式，通过邮件形式寄出，这样用户的很多隐私就有可能在不知不觉中泄露出去。
发作现象：
Worm.Gop.3(QQ窃手）自身捆绑了一个DLL文件，和一个随机的文档，当病毒运行后会在系统目录下释放出一个kernelsys32.exe,然后kernelsys32.exe将自动启动。（此病毒还会在临时目录下将自身带的WORD文件释放出来，并将此文件打开，借此来掩饰自己的行为。）
Kernelsys32.exe会释放出一个IMKERNEL32.SYS的文件，并将IMKERNEL32.SYS注入其他的进程空间内，该文件注入进程空间内后就开始窃取本地的QICP的帐号和密码。然后当QICQ启动时，它会判断当前的窗口标题如果是“QQ用户登录”或是“OICQ用户登录”就将窃取用户输入的密码，并将密码和帐号保存在系统目录下的drocerr.sys文件中，同时备份到系统目录下的drocerrbk.sys文件中。
病毒还会自动查找最近打开过的文件，如果文件是以下类型（bmp、rtf、doc、txt、gif、jpeg、jpg）并且小于80k,病毒就将此文件捆绑在自己后面，形成一个exe文件作为附件发送给别人。这样收信人会以为收到了一个无害的文件，一但在Outlook Express或者windows中预览了这个邮件，会立刻感染这个蠕虫。信件的主题为以下之一： 想念你的模样 想我的小宝贝了 快乐 给我永恒的爱人 我爱你 想念 我在等着你 吻你 你是我的女主角 爱，有时候真的不能去比较的 哎 Fw：姐姐的照片 记得收好我的照片呀！ xue 您的朋友 张 给您寄来贺卡 信件的内容为各种情书。这对于佳节将至的广大用户来说，是很容易被蒙蔽的。
清除Worm.Gop.3(QQ窃手）病毒的方式是用杀毒软件将其全面杀除。
预防Worm.Gop.3(QQ窃手）的办法与多数蠕虫病毒的方法类似：就是不要打开上文提到的主题邮件，其次是警惕陌生邮件，为了避免受到病毒侵袭用户还应使用优秀的防火墙软件――如瑞星防火墙进行防堵预防，并尽快对杀毒软件进行升级。 病毒名称：Hack.QQ2000.Trick
病毒别名：QQ骗子
发作时间：随机
病毒类型：黑客程序
传播方式：网络
警惕程度：★★★★
病毒介绍：
此病毒模仿oicq软件，将用户填写的登录号码和密码发送到指定信箱，从而窃取用户个人信息。由于此程序的外表做得和真正的oicq软件的图标完全一致，所以对于用户造成了很大的迷惑，极易让人上当。
发作现象：
此病毒与真正的QQ有同样的图标，如果用户双击此病毒文件，病毒即运行，跳出一个信息框，让用户填写邮件地址，而真正的oicq程序是没有此信息框的，所以当出现此信息框的时候，则表明用户正在使用QQ骗子，而不是真正的QQ。与此同时QQ骗子还会在桌面生成一个快捷方式，此快捷方式也与真正的oicq软件的快捷方式相同。用户如果再双击QQ骗子生成的快捷方式的话，又会跳出一个与oicq软件相同的登陆界面，如果此时用户将自己的登录号码和密码填写上去，并按确定键的话，又会跳出一个信息框，显示登录失败，而实际上，与此同时，刚才用户所填写的信息已被发送到病毒制造者所指定的信箱中，从而用户的私人信息便被泄露出去了。 2003年10月以来网上出现一种叫做“QQ尾巴(Trojan.QQ3344)”的木马病毒。该病毒会偷偷藏在你的系统中，当 你在使用QQ的时候，它会自动寻找QQ窗口，给在线上的QQ好友发送诸如“刚刚朋友给我发来的这个东东。你不看看要后悔哦--”之类的假消息，如果有人信以为真点击该链接的话，将会感染上病毒，并且成为病毒的传播源。
一、该病毒的主要特征：
这种病毒并不是利用QQ本身的漏洞进行传播。它其实是在某个网站首页上嵌入了一段恶意代码，利用IE的iFrame系统漏洞自动运行恶意木马程序，从而达到侵入用户系统，进而借助QQ进行垃圾信息发送的目的。用户系统如果没安装漏洞补丁或没把IE升级到最高版本，那么访问这些网站的时候其访问的网页中嵌入的恶意代码即被运行，就会紧接着通过IE的漏洞运行一个木马程序进驻用户机器。然后在用户使用QQ向好友发送信息的时候，该木马程序会自动在发送的消息末尾插入一段广告词，通常都是以下几句中的一种。
QQ收到信息如下： 1. HoHo~~ ***刚才朋友给我发来的这个东东。你不看看就后悔哦，嘿嘿。也给你的朋友吧。 2. 呵呵，其实我觉得这个网站真的不错，你看看**** 3. 想不想来点摇滚粗口舞曲，中华 DJ 第一站，网址告诉你***********不要告诉别人 ~ 哈哈，真正算得上是国内最棒的 DJ 站点。 4.*** 帮忙看看这个网站打不打的开。 5. *** 看看啊。我最近照的照片~ 才扫描到网上的。看看我是不是变了样？ 二、解决方法：
1．在运行中输入MSconfig,如果启动项中有“Sendmess.exe”和“wwwo.exe”这两个选项，将其禁止。在C：\WINDOWS一个叫qq32.INI的文件，文件里面是附在QQ后的那几句广告词，将其删除。转到DOS下再将“Sendmess.exe”和“wwwo.exe”这两个文件删除。
2．随时升级杀毒软件。
3．安装系统漏洞补丁
由病毒的播方式我们知道，“QQ尾巴”这种木马病毒是利用IE的iFrame传播的，即使不执行病毒文件，病毒依然可以借由漏洞自动执行，达到感染的目的。因此应该敢快下载IE的iFrame漏洞补丁。 警惕程度：★★★★
发作时间：随机
病毒类型：木马病毒
传播方式：QQ软件
感染对象：QQ用户
依赖系统： WIN9X//NT/2000/XP
病毒介绍：
该病毒运行后会偷偷藏在用户的系统中，并修改注册表进行自启动。发作时会寻找QQ窗口，每隔1分钟就给被感染用户的所有线上的QQ好友发送诸如“快去这看看，里面有蛮好好东西-- ”之类的假消息，诱惑用户点击一个网站，如果有人信以为真点击该链接的话，就会被病毒无情感染，然后成为毒源，继续传播。
病毒的发现与清除：
此病毒会有如下特征，如果用户发现计算机中有这些特征，则很有可能中了此病毒：
1. 病毒运行时会将自身复制到系统目录下，命名为：WebAuto.exe。
2. 病毒会修改注册表，在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\
CurrentVersion\Run启动项中添加键值WebAuto.exe,该键值的内容是病毒的文件路径，在下一次启动计算机时，病毒就会自动运行。
3. 病毒会将用户系统中的IE默认首页改为：*********** ，使用户一上网就中招。
4. 病毒会寻找QQ的发送消息窗口，给用户所有好友随机发送以下消息： 1. 激情电影爽啊！给你也推荐一下，完全免费--； 2. 快去这看看，里面有蛮好好东西--； 3. 上次看了个网站不错，去看看吧--； 在这些消息之后还伴随着一个恶意网址诱骗用户点击。
用户如果在自己的计算机中发现以上全部或部分现象，则很有可能中了QQ 连发器（Trojan.WebAuto、Trojan.WebAuto.a)病毒。 病毒类型：木马病毒
传播途径：QQ软件/网络
依赖系统： WINDOWS 9X/NT/2000/XP
病毒介绍：
2004年2月27日，瑞星全球反病毒监测网率先截获一个传播非常迅速，破坏性很强的的恶性木马病毒，并命名为“美女杀手 (Trojan.Legend.Syspoet.b)”病毒，该病毒通过QQ发送虚假消息给在线好友，导致在线好友上当。病毒会将自己伪装成网址，当用户点击该网址时会出现一副美女照片，当照片被打开的时候用户的电脑则已经被病毒感染。
该病毒会利用微软浏览器的漏洞进行攻击，浏览器版本级别低于IE6.0 SP1的电脑染毒后，病毒会修改一些文件的关联，导致象OFFICE软件、任务管理器、注册表编辑器等程序无法使用，该病毒还会破坏资源管理器，只要用户打开目录的深度超过五级，病毒就自动关闭浏览器。该病毒会干掉含有“杀毒”字样的窗口，因此会造成一些反病毒软件及病毒专杀工具无法使用、一些反病毒公司的主页无法登陆等现象。另外该病毒会修改用户电脑的系统配置，导致用户重启系统时无法进入“我的电脑”。
病毒盗取《传奇》游戏的密码和其他信息，并通过十几个邮件服务器向外发送大量的病毒邮件，阻塞网络。据瑞星反病毒工程师介绍，没有被感染的用户可以通过个人防火墙来预防该病毒，当用户发现有Mshta.exe的程序访问外部网络时，应该立刻禁止，如果该程序访问网络成功，将会对用户电脑产生上述破坏。
病毒的特性、发现与清除：
1. 病毒用VB语言编写，采用UPX压缩。
2. 病毒一旦执行，病毒将自我复制到系统文件夹，并重命名为随机文件名的可执行文件。
3. 病毒将在注册表启动项下，创建随机注册表键值来使自己随Windows系统自启动。
4. 终止带有下列字眼的程序的执行：瑞星、金山毒霸、江民、专杀、毒、木马、防火墙、监控、注册表编辑器、任务管理器、进程列表、进程管理、Antivirus、Trojan、REGSNAP、REGSHOT、REGISTRY MONITOR、W32DASM。
5. 通过QQ发送虚假消息给在线好友，导致在线好友上当。
6.盗取游戏“传奇”的各种信息，将盗取的信息发送到可配置的指定邮箱。
用户如果在自己的计算机中发现以上全部或部分现象，则很有可能中了“美女杀手(Trojan.Legend.Syspoet.b)”病毒。 该病毒采用VC++(SDK)编写，是一个通过QQ传播的病毒。
一、病毒评估
1．病毒中文名：QQ女友
2．病毒英文名：Worm.LovGate.v.QQ
3．病毒大小：53,248 字节
4．病毒类型：蠕虫病毒
5．病毒危险等级：★★★★
6．病毒传播途径：网络
7．病毒依赖系统：WINDOWS9X/NT/2000/XP
二、病毒的破坏
利用QQ发送诱惑信息，导致用户上当。病毒发送一些诱惑新的文字和链接给在线的好友，致使不明真相的用户上当。
三、病毒报告
1.复制自己到系统目录：
%SYSDIR%\internet.exe
%SYSDIR%\svch0st.exe
2.修改如下注册表键值： HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
Network Associates,Inc. = INTERNET.EXE HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
S0undMan = %SYSDIR%\SVCH0ST.EXE 3.病毒运行后将建立一个HTTP服务器，监听TCP端口20808
该功能将响应远程的下载请求，将本地的病毒文件复制到远程机器。
4.病毒搜索QQ聊天软件，向在线的好友发送诱惑信息，内容如下：
“你是那样地美，美得象一首抒情诗。你全身充溢着少女的纯情和青春的风采。
留给我印象最深的是你那双湖水般清澈的眸子，以及长长的、一闪一闪的睫毛。
像是探询，像是关切，像是问候。
这是你需要的东西：
下载地址1
http://*.*.*.*：：20808//%DRIVE%c:\\filename.exe
下载地址2
http://*.*.*.*：：20808//%DRIVE%c:\\filename.exe”
上面的内容头部也可能为下列之一： 其实，我最先认识你是在照片上。照片上的你托腮凝眸，若有所思。那份温柔、那份美感、那份妩媚，使我久久难以忘怀 远远地，我目送你的背影，你那用一束大红色绸带扎在脑后的黑发，宛如幽静的月夜里从山涧中倾泻下来的一壁瀑布。 你蹦蹦跳跳地走进来，一件红尼大衣，紧束着腰带，显得那么轻盈，那么矫健，简直就像天边飘来一朵红云。 你笑起来的样子最为动人，两片薄薄的嘴唇在笑，长长的眼睛在笑 春花秋月，是诗人们歌颂的情景，可是我对于它，却感到十分平凡。只有你嵌着梨涡的笑容，才是我眼中最美的偶象。 你其有点像天上的月亮，也像那闪烁的星星，可惜我不是诗人，否则，当写一万首诗来形容你的美丽。 你是一尊象牙雕刻的女神，大方、端庄、温柔、姻静，无一不使男人深深崇拜。 在风吹干你的散发时，我简直着魔了：在闪闪发光的披肩柔发中，在淡淡入鬓的蛾眉问，在碧水漓漓的眼睛里……你竟是如此美丽可人！ 你是花丛中的蝴蝶，是百合花中的蓓蕾。无论什么衣服穿到你的身上，总是那么端庄、好看。 你那瓜子形的形（编者注：该字疑为病毒作者笔误），那么白净，弯弯的一双眉毛，那么修长；水汪汪的一对眼睛，那么明亮 其中*.*.*.*为本机地址，%filename%为下列之一： c:\setup.exe c:\hello.exe c:\flash c:\123456.exe c:\pass.exe c:\game.exe c:\my_photo.exe c:\update.exe c:\mp3.exe c:\666666.exe 这些都是病毒本身。
5.鉴于该病毒的特殊性，尤其是女性的使用QQ的用户，请看到上述信息时请不要上当。
四、病毒解决方案：
1.进行升级
瑞星公司将于2004年3月12日当天进行升级，升级后的软件版本号为16.17.20,该版本的瑞星杀毒软件可以彻底查杀此病毒，瑞星杀毒软件标准版和网络版的用户可以直接登陆瑞星网站
2.使用专杀工具
鉴于该病毒的危害性比较严重，瑞星公司还为手中暂时没有杀毒软件的用户提供了免费的病毒专杀工具，
3.使用在线杀毒和下载版
用户还可以使用瑞星公司的在线杀毒与下载版产品清除该病毒，这两款产品有多种支付途径
4.打电话求救
如果遇到关于该病毒的其它问题，用户可以随时拨打瑞星反病毒急救电话。
5.手动清除
⑴打开任务管理器查看是否存在进程名为： INTERNET.EXE或SVCH0ST.EXE,终止它
⑵打开注册表编辑器，删除如下键值： HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
Network Associates,Inc. = INTERNET.EXE HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
S0undMan = %SYSDIR%\SVCH0ST.EXE ⑶将%WINSYS%目录下的文件： SVCH0ST.EXE和SVCH0ST.EXE删除
注：%WINSYS%位Windows系统的安装目录，在win9x,winme,winxp下默认为：C:\WINDOWS\SYSTEM,win2k下默认为：C:\WINNT\SYSTEM32。
五、安全建议：
qq病毒
1.建立良好的安全习惯。例如：不要轻易打开一些来历不明的邮件及附件，不要上一些不太了解的网站，不要运行从互联网上下载的未经杀毒处理的软件等，这些必要的习惯会使您的计算机更加安全。
2.关闭或删除系统中不需要的服务。默认情况下，操作系统会安装一些辅助服务，如 FTP 客户端、Telnet和 Web 服务器。这些服务为攻击者提供了方便，而又对用户没有太大作用，如果删除它们，就能大大减少被攻击的可能性，增强电脑的安全。
3.经常升级安全补丁。据统计，大部分网络病毒都是通过系统安全漏洞进行传播的，象冲击波、大无极、SCO炸弹、网络天空等。漏洞的存在，会造成杀毒杀不干净的状况，所以应该定期到微软网站去下载最新的安全补丁，堵住系统的漏洞。
4.使用复杂的密码。有许多网络病毒是通过猜测简单密码的方式攻击系统的，因此使用复杂的密码，将会大大提高计算机的安全系数，减少被病毒攻击的概率。
5.迅速隔离受感染的计算机。当您的计算机发现病毒或异常时应立刻断网，以防止计算机受到更多的感染，或者成为传播源，再次感染其它计算机。
6.了解一些病毒知识。这样您就可以及时发现新病毒并采取相应措施，在关键时刻使自己的计算机免受病毒破坏。如果能了解一些注册表知识，就可以定期看一看注册表的自启动项是否有可疑键值；如果能了解一些内存知识，就可以经常看看内存中是否有可疑程序。
7.最好是安装专业的防毒软件进行全面监控。在病毒日益增多的今天，使用杀毒软件进行防毒，是越来越经济的选择，不过用户在安装了反病毒软件之后，应该经常进行升级、将一些主要监控打开（如邮件监控）、遇到问题要及时上报，这样才能真正保障计算机的安全。