QQ病毒查杀完全手册(2)
QQ病毒查杀完全手册
清除方法
(1)打开任务管理器，结束掉RUNDLL和SYSEDIT32进程。
(2)删除系统文件夹(Win9_通常为Windowssystem,WinNt通常为WinNtsystem32)下名为RUNDLL.e_e和sysedit32.e_e的文件(文件大小为1781752字节)。
(3)打开注册表编辑器，删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下名为intarnet=%windowssystem%rundll.e_e\"的键值。恢复HKEY_CLASSES_ROOTt_tfileshellopencommand的默认键值为Notepad %1。(其中%windowssystem%为Windows的系统文件夹)
(4)若根目录下存在文件setup.t_t或mima.t_t,将其删除。
变种第二病毒特征 该木马程序被包装在一个名为s.eml的邮件中，并且利用了Iframe漏洞。当没有打补丁的用户浏览含有该邮件的网页时，邮件中的木马程序(Hack.e_e)就会自动运行。
木马程序被运行后会：
1、复制自身到Windows系统目录(通常为windowssystem)下，改名为E_plorer.e_e。由于它和Windows目录下的E_plorer文件同名，因此会使用户误认为这是一个正常的系统文件。
2、修改注册表，在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下添加键值Intarnet="%windowssystem%E_plorer.e_e",使木马程序可以在开机后自动运行。(其中%windowssystem%为Windows的系统目录)
3、该木马程序会通过QQ的“发送消息”窗口给QQ用户的网友发送如下信息“http://ajim.delphibbs.com去看看，很好看的”，当用户点击该网址浏览时，木马程序就会被再次激活，从而使该木马通过QQ聊天工具不断地传播自己。
清除方法：
(1)打开任务管理器，结束掉位于下面的那个E_plorer进程，然后删除系统目录下的木马程序E_plorer.e_e。或者重新启动到DOS下到system目录直接删除该木马程序。
(2)打开注册表编辑器，删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下名为E_plorer的键值。 变种第三病毒特征
该病毒运行后会：
1、复制两个自己的拷贝到Windows的系统目录(Win9_通常为Windowssystem,WinNt通常为WinNtsystem32)下，并分别更名为rundll.e_e和sysedit32.e_e。
2、修改注册表，在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下添加键值intarnet="%windowssystem%rundll.e_e"，使木马程序在开机后自动运行(其中%windowssystem%为Windows的系统目录)。
3、修改注册表，修改HKEY_CLASSES_ROOTt_tfileshellopencommand的默认键值为%windowssystem%sysedit32.e_e，关联记事本，使用户打开t_t文件时木马程序能获得运行机会。
4、修改注册表，修改IE浏览器的默认页，开始页，起始页。
5、该木马会通过QQ程序向其它的QQ用户发送“http://ontimer.spedia.net，你快去看看”的消息，诱导用户浏览含有恶意代码的网页。
6、该木马还会尝试盗取QQ用户的密码并将其发送至指定的邮箱。
清除方法：
(1)打开任务管理器，结束掉RUNDLL和SYSEDIT32进程。
(2)删除系统文件夹(Win9_通常为Windows\system,WinNt通常为WinNt\system32)下名为RUNDLL.e_e和sysedit32.e_e的文件(文件大小为1781752字节)。
(3)打开注册表编辑器，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run下名为intarnet=%windowssystem%\rundll.e_e\"的键值。恢复HKEY_CLASSES_ROOT\t_tfile\shell\open\command的默认键值为Notepad %1。(其中%windowssystem%为Windows的系统文件夹)
(4)恢复IE的设置。打开注册表编辑器，恢复HKEY_LOCAL_MACHINE\Software\Microsoft\Internet E_plorer\Main\Start Page，HKEY_LOCAL_MACHINE\Software\Microsoft\Internet E_plorer\Main\Default_Page_URL，HKEY_LOCAL_MACHINE\Software\Microsoft\Internet E_plorer\Main\Local Page的设置为原来的内容。
变种第四病毒特征
该木马程序用Delphi编写，并用UP_进行了压缩，但该程序需要用户的机器上安装了Delphi的动态库才能运行。该程序具有同“爱情森林”的第一个版本相同的特征，因此极有可能是病毒作者对“爱情森林”的第一个版本重新编译后生成的。木马程序被运行后会：
1、复制自身到Windows操作系统的system目录(通常为windowssystem)下，并改名为E_plorer.e_e。由于它和Windows目录下的E_plorer文件同名，因此会迷惑用户，使用户误认为这是一个正常的系统文件。
2、修改注册表，在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下添加键值E_plorer="%windowssystem%E_plorer.e_e",使木马程序可以在开机后自动运行。(其中%windowssystem%为Windows的系统目录)
3、该木马程序还会在站点http://orchid.diy.163.com/下载文件update.e_e，并执行下载下来的程序，进行其它的破坏活动。
清除方法
(1)先打开任务管理器，结束掉位于下面的那个E_plorer进程，然后删除系统目录下的木马程序E_plorer.e_e。或者重新启动到DOS下到system目录直接删除该木马程序。
(2)打开注册表编辑器，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run下名为E_plorer的键值
“QQ炸弹”防护
一、拒绝消息“炸弹”
消息“炸弹”攻击可能是“炸弹”攻击中最常见的。它依靠在很短的时间间隔内发送大量信息来骚扰用户。因为无论腾讯公司如何在QQ安全问题上进行改进，最终它所实现的主要还是点对点的聊天交流。如果腾讯公司在设计QQ时将两次发送消息的时间间隔设置得太长 对于用户正常的聊天就可能会造成影响.而如果太短，则消息”炸弹”就有了生存之地。因此从这个角度来说，只要能发消息 消息”炸弹”就不可能停止。话说回来，适当减少被消息“炸
弹”轰炸的方法还是有的，下面咱们就一起来看看。
1.原理分析
QQ消息“炸弹”原理其实比较简单：当用户切换到”聊天模式”时，QQ消息“炸弹“程序通过调用函数等方式搜索到QQ聊天窗体及文本窗体等程序句柄 然后控制其自动发送消息。由于发消息时间间隔很短，使人应接不暇，最终形成了“炸弹”，阻碍了QQ的正常使用。
2.快速防“弹”
由于QQ“炸弹”太多，腾讯公司也不得不考虑这些问题。因此在QQ 2004版本中发送消息的频率需要有一定的间隔，否则QQ会友好地提示你“对不起，您说话太快了，坐下来，泡杯咖啡休息会吧”。然而“道高一尺 魔高一丈”，总有些恶意的骚扰者不断地出现在你的陌生人名单中，不停地发消息”炸弹”骚扰你。针对这种人，我们可以这样对付他：点击“QQ菜单”一“系统设置”一“基本设置”在“综合设置”里勾选“拒绝陌生人消息”，这样所有陌生人发的消息你都收取不到了，当然陌生人也就无从骚扰你了。而针对可能存在干你好友名单里的骚扰者，大家可以这样设置：打开该好友的资料，切换到“好友设置”。勾选“不接收该好友发过来的任何消息”这样他就设法再“炸”你了。
不过对于“身份认证”这种消息“炸弹”，由于现在QQ身份认证机制的局限性，在理论上我们是没办法完全防止的。我们只能采取设置成“拒绝任何人加为好友”这种“歼敌一千，自损八百”的手段。更有效的防范方法，还要靠腾讯公司对QQ进行改进，我们只能期盼更新版的QQ早日到来了。
二、拒绝恶性“炸弹”
由干一般的“炸弹“防范措施比较简单，所以大家只要按照上述方法一般都能避免受到攻击。但其中也有一些后果比较严重的”炸弹”，可以将你的QQ炸得“血肉横飞”。比如在QQ2000C、QQ2003和QQ2003II中发现的由于Richedit代码页溢出所引起的严重安全漏洞，它可以使攻击者发送一段恶意代码就让接收这段代码的QQ自动关闭。虽然随后腾讯很快推出安全补丁解决了这一问题，但这种攻击方式本身还是以简单而有效受到广泛的承认。对于这类攻击 如果你还在使用以上老版本 ，防范方法就是尽快打上腾讯公司给出的不定， 或升级QQ。
三、另类攻击
关于QQ还有一种另类攻击方法，虽然危害不是很大，但也有必要告诉大家。相信吗?在你的QQ所在文件夹下随便写个文件或者建立一个目录，你的QQ就运行不了啦!如果你不相信，就和我一起做个试验吧。
首先，点击“我的电脑”进入QQ所在的文件夹，默认安装在C：\ProgramFiles\Tencent下。然后点击鼠标右键，选“新建”一“文件夹”，将这个新建的文件夹命名为ws2_32.dll。现在，运行QQ，输入你的QQ密码，猜猜会怎么样?如果你使用的是版本号为QQ2000c系列的QQ，如0630、510、0305b、0305等各版本，QQ将无法启动，而且没有任何提示信息!如果使用的是版本号为QQ2000b系列的QQ，将会出现如图3所示窗口，让你输入本地消息密码(本地消息密码可以在QQ的“系统参数”一“安全设置”中设置)。此时，无论你.是否设置过本地消息密码，而且不管你输入的密码是否正确，点击“确定”都无法进入QQ，会一直让你输入不止。点击“取消”则退出QQ。怎么样?无法进入QQ了吧?
为什么会出现这种现象呢?原因是微软把目录和文件作为同级的东西来处理了，而QQ作为网络通讯类的程序，必然要调用Winsock的一系列API，而这些API是存放在winsock.dH和ws2_32.dll文件里的。Window有个特点，就是找动态链接库的时候，会先在应用程序当前目录搜索，然后才会搜索Windows所在目录，再次是system32和system所在目录。而我们前面做的试验正是利用了这个特点，在QQ所在目录中建立一个名字为ws2—32.dll的“目录”，系统会把它当作一个文件优先调用，而实际上ws2_32.dll是目录而非QQ所需的文件，所以QQ就给“憋死了”!
上面我们是建立名为ws2_32.dll的目录，，下面我们再建立一个名为ws2_32.dll的文件，看看会怎么样?结果完全相同，还是无法登陆QQ!这也证明了我们上面的分析是正确的。
最后，再告诉大家一个好方法：如果有人在QQ上不断地用语言侮辱你，在忍无可忍时，可以点击对方的头像，然后选择“传送文件”，发送给对方一个长度为0字节的文件(用记事本新建一个文件，什么都不输入，保存退出，即可得到一个长度为0的文件)，之后，你就不会看到他喋喋不休的废话了，因为他的QQ已经崩溃了!要提醒大家的是不要乱用此方法，当心进入别人的“黑名单”哦。
木马防范技巧
1、QQ中防范木马新方法
大家知道，目前黑客工具实在是太多了，木马就是其中之一，特别是针对QQ的木马就更是数不胜数了。那么有什么办法避免木马记录我们输入的密码呢?这里推荐一个小方法，可以使你的QQ密码安全许多!具体方法是：假如你的QQ密码是5009，在输入时最后不直接输入该密码，这样直接输入会被直接记录下来。你可以先输入508，然后把光标移到8后面再按0，这样你输入的密码依然是5008，但在木马看来你输入的就是5080，一字之差，谬之千里。这样你的QQ密码就安全多了!
2、使用中文做密码
打开记事本，把你要作为密码的中文写入其中，用鼠标右键点击屏幕右下角的QQ图标，在弹出菜单中选“个人设定”，此时会弹出“修改用户资料”对话框，点击其中的“网络安全”，选“修改密码”，输入旧口令，在“新口令”栏中把记事本里的中文密码粘贴进去就可以了。要注意的是：一个中文占两个字符的空间，QQ最大支持16位密码，所以你的中文密码不能超过8个字。
3、利用QQ注册向导采隐身登录
首先打开QQ登录框选择“注册向导”填好号码和密码，点击两下“下一步”这时你看见登录框页面—亡有一个“会员功能”的选项。把“使用HTTP协议登录(仅限会员使用)”前面打个小勾，然后在弹出的使用HTTP协议确认界面中点击“选择”，这时再点击“下一步”后显示“已将您的好友列表读取到本地，点击完成启动QQ”，接着却弹出一个“登录失败”的警告对话框，上面写着“您不是会员，不能使用HTTP代理功能”。不要管它，点击“OK”，这时候看见右下角任务栏的小QQ是灰色的离线状态，双击弹出，在QQ主界面左下角打开“QQ2000”主菜单按钮，选择“系统参数”选项，在“会员功能”里，把“使用HTTP协议登录”前面的勾去掉，如图2所示，然后，点击“确定’’。再单击QQ小企鹅，选择“隐身”状态。出现一个错误提示符，不要理它;点“确定”，再次选择隐身登录看，QQ已经隐身登录了。
欢迎阅读以下相关文章：
1.QQ病毒查杀完全手册
2.七点常见QQ网络骗术 必备技巧
3.QQ安全软件 保护你的QQ安全
4.QQ常用技巧
5.如何查找攻击网站的CC攻击IP
6.各种计算机病毒分类介绍