病毒名：

    QQ群蠕蟲病毒（Win32.Troj.Pincav）

  病毒簡介：

    該病毒偽裝成電視棒破解程序欺騙網民下載，盜取魔獸、郵箱及社交網絡賬號，中毒后病毒會自動訪問QQ群共享空間進行傳播。目前該病毒感染量每天約2萬個，一周來累計感染量突破12萬。

   該病毒的技術手法，可能給QQ安全帶來空前壓力，也極可能被其他病毒作者效仿。

圖1 國內首個QQ蠕蟲傳播效果圖

 QQ群蠕蟲 （Win32.Troj.Pincav）的傳播手法

    病毒首先通過小網站（偽裝成色情播放器和游戲外掛）被部分網民下載后運行，據金山云安全中心統計，經常下載這類程序的網民中有20%會關閉殺毒軟件，主動運行病毒。

    中毒后病毒會將復制自身，主動上傳到當前QQ用戶的所有QQ群中，QQ群會收到共享文件的通知，在線成員可能下載該程序。從而，使越來越多的QQ用戶中毒，就如原子彈爆炸般的鏈式反應。短時間內造成大量用戶QQ帳號、郵箱帳號、網游帳號等重要信息被盜。

 
圖2 國內首個QQ蠕蟲傳播流程

  病毒分析：

   1.行為分析：

    在C盤Program Files文件夾或各磁盤根目錄生成文件：

    C:\Program Files\NVIDIA Corporation\PhysX\Common\nwizs.exe(偽裝成英偉達顯卡驅動程序相關文件)

    C:\Program Files\NVIDIA Corporation\PhysX\Common\nvwdmcpl.dll   (偽裝成英偉達顯卡驅動程序相關文件)

    x:\recycle.{645FF040-5081-101B-9F08-00AA002F954E}\recycle.exe（偽裝成回收站圖標）

圖3 病毒偽裝成回收站圖標并隱藏

    x:\autorun.inf（以實現雙擊磁盤圖標時病毒被執行）

 
圖4 病毒修改雙擊磁盤自動打開配置文件autorun.inf

    寫入啟動項:

    修改HKEL_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run   下的nwizs值

    修改HKEL_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run下的nwizs值

    2.傳播技術點：

    若QQ.exe正在運行，病毒dll會注入QQ.exe，使用特殊技術手段得到QQ號和QQ號碼的ClientKey（ClientKey是在QQ登陸后動態生成的，在我們打開自己的QQ郵箱、QQ空間或者QQ群共享時，ClientKey充當了QQ密碼的角色），利用這些信息訪問QQ群，得到該QQ號的QQ群列表。然后，病毒向所有QQ群上傳自身。

    效果如下：

圖5 病毒自身副本被上傳到QQ群共享空間

    3.病毒自升級：

    病毒作者使用了一個百度空間來存放兩個加密后的URL，通過解密出來的URL下載病毒壓縮包。百度空間地址http://hi.baidu.com/px44554344/home

圖6 病毒作者利用百度空間來取得加密字串，以更新病毒

    這兩個博客文本解密之后為的字串（因涉及病毒傳播，金山毒霸工程師在本報告中隱藏了完整路徑）

    http://******/6/1315115820x-954498972.gif
    （gif圖片，據推測是病毒作者用來測試網絡狀態）

    http://******/6/1315116601x-1376440220.zip
    （zip包是病毒用來上傳到QQ群共享的壓縮包，病毒作者通過更新百度空間中的字符串來更新病毒包下載地址。）

    4.病毒傳播觸發條件：

    病毒作者編寫程序中的一個BUG導致中毒電腦的QQ號若大于2147483648時，將不能觸發病毒自動上傳到QQ群共享空間。

    5.中毒現象

    1)Windows資源管理器會無緣故重啟一次（就是Windows桌面重新刷新一次）

    2)中毒后可在群共享中發現有登錄者qq群共享文件，文件名可能為:"成人電視棒破解版V2.zip"或者"成人電視棒升級破解版.zip"。

    目前，金山毒霸已經和騰訊安全中心針對此病毒緊急磋商，以阻止類似病毒通過QQ群共享空間爆發式傳播，金山毒霸獵豹+QQ電腦管家極速安全套裝已經可以完美攔截。

    熱點新聞：

    國內首個QQ群蠕蟲病毒被截獲

    新鬼影病毒利用主板BIOS再襲網絡