癥狀描述：今天上網(wǎng)后不久，就接到多位QQ好友的狂罵自己的信息，弄得我莫名其妙。一打聽才知道，他們紛紛收到我QQ發(fā)送的各種亂七八糟的信息，并且隨消息還附帶有病毒文件。并且病毒文件的名稱也五花八門，搞得我莫名其妙，難道QQ被盜？
于是重新申請(qǐng)一個(gè)QQ號(hào)，加上好友，結(jié)果不出3分鐘，就收到接收文件的請(qǐng)求。而且是帶有病毒的文件。難道是我的QQ被病毒襲擊了？聯(lián)想到前幾天在安裝一個(gè)從網(wǎng)上下載的程序時(shí)，彈出一個(gè)錯(cuò)誤窗口。當(dāng)時(shí)就覺得不對(duì)勁，于是馬上進(jìn)行殺毒，可是并沒有發(fā)現(xiàn)任何病毒，現(xiàn)在看來一定是這個(gè)程序在“搗亂”。
查找線索：打開任務(wù)管理器查看，發(fā)現(xiàn)一個(gè)名為“Rundll32.exe”的進(jìn)程。普通的應(yīng)用程序很少調(diào)用Rundll32.exe，最常使用Rundll32.exe的就是一些流氓軟件，或木馬后門，看來這個(gè)Rundll32.exe最為可疑。
點(diǎn)擊“開始”菜單中的“搜索文件或文件夾”命令，接著搜索“Rundll32.exe”這個(gè)關(guān)鍵詞。結(jié)果在系統(tǒng)目錄的SYSTEM和SYSTEM32文件夾中同時(shí)發(fā)現(xiàn)了Rundll32.exe的蹤影。通過對(duì)文件圖標(biāo)的分辨很快我就找到了可疑的文件，因?yàn)榧俚腞undll32.exe居然采用了WINRAR的圖標(biāo)。
查找到可疑的文件后，我開始準(zhǔn)備查找病毒的啟動(dòng)項(xiàng)。運(yùn)行注冊(cè)表編輯器，同樣搜索“Rundll32.exe”這個(gè)關(guān)鍵詞，結(jié)果沒有發(fā)現(xiàn)可疑的啟動(dòng)項(xiàng)。既然沒有發(fā)現(xiàn)可疑的啟動(dòng)項(xiàng)，我決定開始清除病毒，重新啟動(dòng)系統(tǒng)再檢查系統(tǒng)進(jìn)程，并沒有發(fā)現(xiàn)Rundll32.exe這個(gè)進(jìn)程，當(dāng)我啟動(dòng)QQ正準(zhǔn)備向朋友報(bào)喜的時(shí)候，那個(gè)“可惡”的進(jìn)程又出現(xiàn)了。
除病毒看來這個(gè)QQ病毒并沒有想象的那么簡(jiǎn)單，一定是采用了文件保護(hù)的技術(shù)，這樣當(dāng)其中一個(gè)文件被刪除以后，其他的文件馬上就會(huì)生成一個(gè)Rundll32.exe文件的副本。通過剛才的觀察和先前的檢查，我覺得這個(gè)QQ病毒并不是隨系統(tǒng)啟動(dòng)的，而是跟著QQ的啟動(dòng)而啟動(dòng)的。于是馬上來到QQ的安裝目錄，檢查后又發(fā)現(xiàn)一個(gè)采用WINRAR為圖標(biāo)的文件，名稱為“TIMPlatform.exe”，除此以外還發(fā)現(xiàn)一個(gè)名為“TIMP1atform.exe”（注意是1不是L）的文件。
TIMPlatform.exe（注意不是1）是QQ和TM共同使用的外部應(yīng)用開發(fā)接口管理程序，屬于QQ 2004版，開始就成為不可或缺的底層核心模塊。通過對(duì)文件屬性的查看，發(fā)現(xiàn)“TIMP1atform.exe”這個(gè)文件是由騰訊開發(fā)的?？磥磉@個(gè)QQ病毒通過將正規(guī)的“TIMPlatform.exe”改名為“TIMP1atform.exe”，而將病毒本身替代了QQ中的該程序。
為了徹底地清除病毒，我通過系統(tǒng)搜索功能利用“TIMPlatform.exe”的時(shí)間屬性對(duì)系統(tǒng)進(jìn)行搜索，結(jié)果又發(fā)現(xiàn)了兩個(gè)文件。首先結(jié)束Rundll32.exe這個(gè)進(jìn)程，接著將剛剛發(fā)現(xiàn)的兩個(gè)文件及Rundll32.exe、TIMPlatform.exe刪除掉。然后將病毒修改的“TIMP1atform.exe”還原為“TIMPlatform.exe”。
最后再次對(duì)系統(tǒng)進(jìn)行檢測(cè)，發(fā)現(xiàn)注冊(cè)表中文本文件和可執(zhí)行文件的關(guān)聯(lián)被更改了，馬上通過超級(jí)兔子對(duì)它進(jìn)行修復(fù)，最終成功的將該病毒從系統(tǒng)中完全清除。
隨著QQ用戶的逐漸增多，QQ也成為越來越多病毒的溫床。其實(shí)，稍微有些編程能力的用戶就能編寫類似的病毒，即使是不能編寫也可以通過改造別人編寫的病毒來進(jìn)行傳播。這也使得這類病毒體積越來越小，功能越來越多，各種新病毒或變種層出不窮，所以使得現(xiàn)在很多的殺毒軟件疲于應(yīng)付，也很難在第一時(shí)間進(jìn)行查殺。
王強(qiáng)在檢查可疑文件時(shí)，首先從系統(tǒng)目錄著手，在沒有徹底清除病毒時(shí)，對(duì)其他相關(guān)目錄進(jìn)行了檢查，最終成功清除病毒本身。大家面對(duì)這種病毒危害的時(shí)候還可以使用殺毒軟件廠商開發(fā)的專殺工具進(jìn)行查殺。比如QQ大盜查殺工具、QQKAV、QQ尾巴專殺工具等，都可以很容易的對(duì)付這些常見的QQ病毒。
于是重新申請(qǐng)一個(gè)QQ號(hào)，加上好友，結(jié)果不出3分鐘，就收到接收文件的請(qǐng)求。而且是帶有病毒的文件。難道是我的QQ被病毒襲擊了？聯(lián)想到前幾天在安裝一個(gè)從網(wǎng)上下載的程序時(shí)，彈出一個(gè)錯(cuò)誤窗口。當(dāng)時(shí)就覺得不對(duì)勁，于是馬上進(jìn)行殺毒，可是并沒有發(fā)現(xiàn)任何病毒，現(xiàn)在看來一定是這個(gè)程序在“搗亂”。
查找線索：打開任務(wù)管理器查看，發(fā)現(xiàn)一個(gè)名為“Rundll32.exe”的進(jìn)程。普通的應(yīng)用程序很少調(diào)用Rundll32.exe，最常使用Rundll32.exe的就是一些流氓軟件，或木馬后門，看來這個(gè)Rundll32.exe最為可疑。
點(diǎn)擊“開始”菜單中的“搜索文件或文件夾”命令，接著搜索“Rundll32.exe”這個(gè)關(guān)鍵詞。結(jié)果在系統(tǒng)目錄的SYSTEM和SYSTEM32文件夾中同時(shí)發(fā)現(xiàn)了Rundll32.exe的蹤影。通過對(duì)文件圖標(biāo)的分辨很快我就找到了可疑的文件，因?yàn)榧俚腞undll32.exe居然采用了WINRAR的圖標(biāo)。
查找到可疑的文件后，我開始準(zhǔn)備查找病毒的啟動(dòng)項(xiàng)。運(yùn)行注冊(cè)表編輯器，同樣搜索“Rundll32.exe”這個(gè)關(guān)鍵詞，結(jié)果沒有發(fā)現(xiàn)可疑的啟動(dòng)項(xiàng)。既然沒有發(fā)現(xiàn)可疑的啟動(dòng)項(xiàng)，我決定開始清除病毒，重新啟動(dòng)系統(tǒng)再檢查系統(tǒng)進(jìn)程，并沒有發(fā)現(xiàn)Rundll32.exe這個(gè)進(jìn)程，當(dāng)我啟動(dòng)QQ正準(zhǔn)備向朋友報(bào)喜的時(shí)候，那個(gè)“可惡”的進(jìn)程又出現(xiàn)了。
除病毒看來這個(gè)QQ病毒并沒有想象的那么簡(jiǎn)單，一定是采用了文件保護(hù)的技術(shù)，這樣當(dāng)其中一個(gè)文件被刪除以后，其他的文件馬上就會(huì)生成一個(gè)Rundll32.exe文件的副本。通過剛才的觀察和先前的檢查，我覺得這個(gè)QQ病毒并不是隨系統(tǒng)啟動(dòng)的，而是跟著QQ的啟動(dòng)而啟動(dòng)的。于是馬上來到QQ的安裝目錄，檢查后又發(fā)現(xiàn)一個(gè)采用WINRAR為圖標(biāo)的文件，名稱為“TIMPlatform.exe”，除此以外還發(fā)現(xiàn)一個(gè)名為“TIMP1atform.exe”（注意是1不是L）的文件。
TIMPlatform.exe（注意不是1）是QQ和TM共同使用的外部應(yīng)用開發(fā)接口管理程序，屬于QQ 2004版，開始就成為不可或缺的底層核心模塊。通過對(duì)文件屬性的查看，發(fā)現(xiàn)“TIMP1atform.exe”這個(gè)文件是由騰訊開發(fā)的?？磥磉@個(gè)QQ病毒通過將正規(guī)的“TIMPlatform.exe”改名為“TIMP1atform.exe”，而將病毒本身替代了QQ中的該程序。
為了徹底地清除病毒，我通過系統(tǒng)搜索功能利用“TIMPlatform.exe”的時(shí)間屬性對(duì)系統(tǒng)進(jìn)行搜索，結(jié)果又發(fā)現(xiàn)了兩個(gè)文件。首先結(jié)束Rundll32.exe這個(gè)進(jìn)程，接著將剛剛發(fā)現(xiàn)的兩個(gè)文件及Rundll32.exe、TIMPlatform.exe刪除掉。然后將病毒修改的“TIMP1atform.exe”還原為“TIMPlatform.exe”。
最后再次對(duì)系統(tǒng)進(jìn)行檢測(cè)，發(fā)現(xiàn)注冊(cè)表中文本文件和可執(zhí)行文件的關(guān)聯(lián)被更改了，馬上通過超級(jí)兔子對(duì)它進(jìn)行修復(fù)，最終成功的將該病毒從系統(tǒng)中完全清除。
隨著QQ用戶的逐漸增多，QQ也成為越來越多病毒的溫床。其實(shí)，稍微有些編程能力的用戶就能編寫類似的病毒，即使是不能編寫也可以通過改造別人編寫的病毒來進(jìn)行傳播。這也使得這類病毒體積越來越小，功能越來越多，各種新病毒或變種層出不窮，所以使得現(xiàn)在很多的殺毒軟件疲于應(yīng)付，也很難在第一時(shí)間進(jìn)行查殺。
王強(qiáng)在檢查可疑文件時(shí)，首先從系統(tǒng)目錄著手，在沒有徹底清除病毒時(shí)，對(duì)其他相關(guān)目錄進(jìn)行了檢查，最終成功清除病毒本身。大家面對(duì)這種病毒危害的時(shí)候還可以使用殺毒軟件廠商開發(fā)的專殺工具進(jìn)行查殺。比如QQ大盜查殺工具、QQKAV、QQ尾巴專殺工具等，都可以很容易的對(duì)付這些常見的QQ病毒。