QQ木马盗号的阴谋与反阴谋
2011-01-22 11:57
扫描密码的方法不但费时费力，而且成功率极低，盗取QQ最有效的方法还是非木马莫属。木马的入侵我们前面已经探讨过了，被种植木马的主机连管理权限都丧失了，更不用说QQ密码了，当然，使用全面夺取系统的木马来盗取QQ不但小题大做而且无的放矢。事实上，互联网中有许多专门盗取QQ账户和密码的木马，我们将选取影响力较大的QQ木马进行介绍。
（一）揭秘QQ盗号木马
随着杀毒软件与QQ自身的不断升级，一批又一批的QQ盗号木马已经不能使用，尽管旧的木马不能使用，但是新的木马又会出现，正所谓“道高一尺，魔高一丈”，这种“攻”与“防”的较量始终周而复始的进行着。下面我们介绍一款目前比较流行的QQ木马软件，它就是“啊拉QQ大盗”。该软件的使用条件很简单，盗号者只需要有一个支持smtp发信的邮箱或者一个支持asp脚本的网页空间即可。下面我们就来了解一下“啊拉QQ大盗”是如何盗号的，以便从中找到防范应对措施的良方。
1、认识“啊拉QQ大盗”
我们以“啊拉QQ大盗”2.0版为例，下载并解压后有两个文件：“alaqq1024.exe”、“qq.asp”。其中“alaqq1024.exe”是“啊拉QQ大盗”的配置程序，而qq.asp是使用“网站收信”模式时需要的文件。正式使用之前，还需要设置其参数。
盗号者有两种方法接收QQ账号信息－“网站收信”及“邮箱收信”。我们主要以“邮箱收信”来进行说明，运行“alaqq1024.exe”后在“发信模式选择”选项中选“邮箱收信”复杂框。
步骤1：在“邮箱收信”中填写接收QQ木马信息的邮箱地址，“啊拉QQ大盗”2.0版的邮箱默认使用的是tom邮箱，当然用户也可以填写自己的邮箱地址。
步骤2：对于tom邮箱来说，发信服务器默认为“smtp.tom.com”，所以在“发信服务器”框中保持不变。
步骤3：“啊拉QQ大盗”将利用一个电子邮箱对接收木马的“收信信箱”发送信息，所以还需填入其使用的发信邮箱地址，分别在“发信箱账号”、“发信箱密码”和“发信箱全称”中填写相应的信息。
步骤4：设置完毕后，可以测试一下填写的内容是否正确，单击下方“发信测试”按钮，程序将会出现邮箱测试状态。如果测试的项目都显示成功，即可完成邮箱信息配置。
除了选择“邮箱收信”模式之外，盗号者还可以选择“网站收信”模式，让盗取的QQ号码自动上传到指定的网站空间。当然，在使用之前，也需要做一些准备工作。
2、设置木马附加参数
前面我们了解如何设置“啊拉QQ大盗”向盗号者的信箱发送QQ账号密码的，当“啊拉QQ大盗”生成的木马侦察到使用者的账户名和密码的时候，就会将窃取的信息发送到入侵者设定好的邮箱中。可是，要侦察QQ账户名和密码，必须要用用户输入的时候才能获取，所以，盗号者还得设置“啊拉QQ大盗”的其他参数。
在“高级选项”中如果勾选“关闭QQ60秒后”，用户一旦运行“啊拉QQ大盗”生成的木马，QQ将会在60秒后自动关闭，当对方再次登录QQ后，其QQ号码和密码会被木马截获，并发送到盗号者的邮箱或网站空间中。此外，如果希望该木马被用于网吧环境，那就需要勾选“还原精灵自动转存”，以便系统重启后仍能运行木马。除这两项外，其他保持默认即可。
3、盗取QQ号码信息
配置完“啊拉QQ大盗”，单击程序界面中的“生成木马”按钮，即可生成一个能盗取QQ号码的木马程序。“啊拉QQ大盗”默认是将木马伪装成了一张图片。当有受害者运行相应的文件后，木马会隐藏到系统中，系统一旦QQ登录时，木马便会开始工作，将相关的号码及密码截取，并按照此前的设置，将这些信息发送到邮箱或者网站空间。
（二）捕杀QQ盗号木马
我们已经了解了“啊拉QQ大盗”盗号的秘密了，那么如何才能从系统中发现“啊拉QQ大盗”呢？一般来说，如果碰到了以下几种情况，那就应该小心了。
QQ自动关闭；
运行某一程序后其自身消失不见；
运行某一程序后杀毒软件自动关闭；
访问杀毒软件网站时浏览器被自动关闭；
如果杀毒软件有邮件监控功能的，出现程序发送邮件的警告框。
出现上述情况的一种或多种，系统就有可能已经感染了“啊拉QQ大盗”。当然，感染了木马并不可怕，我们同样可以将其从系统中清除出去。
1、手工查杀木马
发现系统感染了“啊拉QQ大盗”后我们可以手工将其清除。“啊拉QQ大盗”运行后会在系统目录中的system32文件夹下生成一个名为NTdhcp.exe的文件，并在注册表的启动项中加入木马的键值，以便每次系统启动都能运行木马。我们首先要做的就是运行“任务管理器”，结束其中的木马进程“NTdhcp.exe”。然后打开资源管理器中的“文件夹选项”，选择其中的“查看”标签，将其中“隐藏受保护的操作系统文件”选项前面的勾去掉。接着进入系统目录中的system32文件夹，删除NTdhcp.exe文件。最后在注册表删除NTdhcp.exe键值，该键值位于HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run。
2、卸载木马
卸载“啊拉QQ大盗”很简单，只要下载“啊拉QQ大盗”的配置程序，运行后单击其中的“卸载程序”按钮即可将木马完全清除出系统。
（三）揪出幕后元凶
忙乎了半天，终于把系统中的“啊拉QQ大盗”彻底清除，那么，面对可恶的盗号者，我们是不是应该该给他一个教训呢？
1、利用漏洞，由守转攻
这里所谓的“攻”，并不是直接入侵盗号者的电脑，我们只是从盗号软件几乎都存在的漏洞入手，从而给盗号者一个教训。那么这个漏洞是什么呢？
从前面对“啊拉QQ大盗”的分析中可以看到，配置部分填写了收取QQ号码信息邮件的邮箱账号和密码，而邮箱账号和密码都是明文保存在木马程序中的。因此，我们可以从生成的木马程序中找到盗号者的邮箱账号和密码。进而轻送控制盗号者的邮箱，让盗号者偷鸡不成反蚀把米。
注意：以上漏动仅存在于将QQ号码信息以邮件发送方式的木马，如果在配置“啊拉QQ大盗”的过程中选择使用网站接收的方式则不存在该漏洞。
2、网络嗅探，反夺盗号者邮箱
当木马截取到QQ号码和密码后，会将这些信息以电子邮件的形式发送到盗号者的邮箱，我们可以从这里如手，在木马发送邮件的过程中将网络数据包截取下来，这个被截获的数据包中就含有盗号者邮箱的账号和密码。截取数据包时我们可以使用一些网络嗅探软件，这些嗅探软件可以很轻松得截取数据包并自动过率出密码信息。
（1）命令行下的X_Sniff
X_Sniff是一款命令行下的嗅探工具，嗅探能力十分强大，尤其适合嗅探数据包中的密码信息。
将下载下来的X_Sniff解压到某个目录中，例如“C:\”，然后运行“命令提示符”，在“命令提示符”中进入X_Sniff所在的目录，X_Sniff的程序名是“xsniff”，所以在命令行中要启动该程序只需键入“xsniff”并回车，这时命令提示符会给出使用X_Sniff的提示信息。
根据提示信息，我们就使用“Example”中给出的命令：“xsniff.exe -pass -hide -log pass.log”即可，该命令含义如下：
在后台运行X_Sniff，从数据包中过虑出密码信息，并将嗅探到的密码信息保存到同目录的pass.log文件中。
嗅探软件设置完毕，我们就可以正常登录QQ。此时，木马也开始运行起来，但由于我们已经运行X_Sniff，木马发出的信息都将被截取。稍等片刻后，进入X_Sniff所在的文件夹，打开pass.log，便可以发现X_Sniff已经成功嗅探到邮箱的账户和密码。
（2）图形界面的sniffer
如果读者对命令行工具使用觉得不习惯，还可以使用图形化的嗅探工具来进行嗅探。例如适合新手使用的“Ace Password Sniffer”。该工具专门用于嗅探账户与密码，不过在运行“Ace Password Sniffer”之前，我们需要安装WinPcap驱动，否则“Ace Password Sniffer”将不能正常运行。WinPcap驱动主要是在驱动层主要作用是获取数据包。用户可以到https://WinPcap.polito.it去下载WinPcap驱动。当然“Ace Password Sniffer”也可以自动安装。
注：WinPcap是用于网络封包抓取的一套工具，可用来直接存取封包的应用程序界面。
运行“Ace Password Sniffer”。首先我们需要为“Ace Password Sniffer”指定一块网卡，单击工具栏上的网卡图标，在弹出的窗口中选择自己使用的网卡，单击“OK”按钮后即可完成配置。确认以上配置后，单击“Ace Password Sniffer”工具栏的“开始”按钮，软件开始了嗅探工作。
接下来，我们正常登录QQ，如果嗅探成功，就会在Ace Password Sniffer的界面中出现捕获的数据包，其中的邮箱账号密码信息被很清晰得罗列了出来。
得到盗号者的邮箱账号和密码以后，我们可以将其中的QQ号码信息邮件全部删除，或者修改他的邮箱密码，给盗号者一个教训。
（一）揭秘QQ盗号木马
随着杀毒软件与QQ自身的不断升级，一批又一批的QQ盗号木马已经不能使用，尽管旧的木马不能使用，但是新的木马又会出现，正所谓“道高一尺，魔高一丈”，这种“攻”与“防”的较量始终周而复始的进行着。下面我们介绍一款目前比较流行的QQ木马软件，它就是“啊拉QQ大盗”。该软件的使用条件很简单，盗号者只需要有一个支持smtp发信的邮箱或者一个支持asp脚本的网页空间即可。下面我们就来了解一下“啊拉QQ大盗”是如何盗号的，以便从中找到防范应对措施的良方。
1、认识“啊拉QQ大盗”
我们以“啊拉QQ大盗”2.0版为例，下载并解压后有两个文件：“alaqq1024.exe”、“qq.asp”。其中“alaqq1024.exe”是“啊拉QQ大盗”的配置程序，而qq.asp是使用“网站收信”模式时需要的文件。正式使用之前，还需要设置其参数。
盗号者有两种方法接收QQ账号信息－“网站收信”及“邮箱收信”。我们主要以“邮箱收信”来进行说明，运行“alaqq1024.exe”后在“发信模式选择”选项中选“邮箱收信”复杂框。
步骤1：在“邮箱收信”中填写接收QQ木马信息的邮箱地址，“啊拉QQ大盗”2.0版的邮箱默认使用的是tom邮箱，当然用户也可以填写自己的邮箱地址。
步骤2：对于tom邮箱来说，发信服务器默认为“smtp.tom.com”，所以在“发信服务器”框中保持不变。
步骤3：“啊拉QQ大盗”将利用一个电子邮箱对接收木马的“收信信箱”发送信息，所以还需填入其使用的发信邮箱地址，分别在“发信箱账号”、“发信箱密码”和“发信箱全称”中填写相应的信息。
步骤4：设置完毕后，可以测试一下填写的内容是否正确，单击下方“发信测试”按钮，程序将会出现邮箱测试状态。如果测试的项目都显示成功，即可完成邮箱信息配置。
除了选择“邮箱收信”模式之外，盗号者还可以选择“网站收信”模式，让盗取的QQ号码自动上传到指定的网站空间。当然，在使用之前，也需要做一些准备工作。
2、设置木马附加参数
前面我们了解如何设置“啊拉QQ大盗”向盗号者的信箱发送QQ账号密码的，当“啊拉QQ大盗”生成的木马侦察到使用者的账户名和密码的时候，就会将窃取的信息发送到入侵者设定好的邮箱中。可是，要侦察QQ账户名和密码，必须要用用户输入的时候才能获取，所以，盗号者还得设置“啊拉QQ大盗”的其他参数。
在“高级选项”中如果勾选“关闭QQ60秒后”，用户一旦运行“啊拉QQ大盗”生成的木马，QQ将会在60秒后自动关闭，当对方再次登录QQ后，其QQ号码和密码会被木马截获，并发送到盗号者的邮箱或网站空间中。此外，如果希望该木马被用于网吧环境，那就需要勾选“还原精灵自动转存”，以便系统重启后仍能运行木马。除这两项外，其他保持默认即可。
3、盗取QQ号码信息
配置完“啊拉QQ大盗”，单击程序界面中的“生成木马”按钮，即可生成一个能盗取QQ号码的木马程序。“啊拉QQ大盗”默认是将木马伪装成了一张图片。当有受害者运行相应的文件后，木马会隐藏到系统中，系统一旦QQ登录时，木马便会开始工作，将相关的号码及密码截取，并按照此前的设置，将这些信息发送到邮箱或者网站空间。
（二）捕杀QQ盗号木马
我们已经了解了“啊拉QQ大盗”盗号的秘密了，那么如何才能从系统中发现“啊拉QQ大盗”呢？一般来说，如果碰到了以下几种情况，那就应该小心了。
QQ自动关闭；
运行某一程序后其自身消失不见；
运行某一程序后杀毒软件自动关闭；
访问杀毒软件网站时浏览器被自动关闭；
如果杀毒软件有邮件监控功能的，出现程序发送邮件的警告框。
出现上述情况的一种或多种，系统就有可能已经感染了“啊拉QQ大盗”。当然，感染了木马并不可怕，我们同样可以将其从系统中清除出去。
1、手工查杀木马
发现系统感染了“啊拉QQ大盗”后我们可以手工将其清除。“啊拉QQ大盗”运行后会在系统目录中的system32文件夹下生成一个名为NTdhcp.exe的文件，并在注册表的启动项中加入木马的键值，以便每次系统启动都能运行木马。我们首先要做的就是运行“任务管理器”，结束其中的木马进程“NTdhcp.exe”。然后打开资源管理器中的“文件夹选项”，选择其中的“查看”标签，将其中“隐藏受保护的操作系统文件”选项前面的勾去掉。接着进入系统目录中的system32文件夹，删除NTdhcp.exe文件。最后在注册表删除NTdhcp.exe键值，该键值位于HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run。
2、卸载木马
卸载“啊拉QQ大盗”很简单，只要下载“啊拉QQ大盗”的配置程序，运行后单击其中的“卸载程序”按钮即可将木马完全清除出系统。
（三）揪出幕后元凶
忙乎了半天，终于把系统中的“啊拉QQ大盗”彻底清除，那么，面对可恶的盗号者，我们是不是应该该给他一个教训呢？
1、利用漏洞，由守转攻
这里所谓的“攻”，并不是直接入侵盗号者的电脑，我们只是从盗号软件几乎都存在的漏洞入手，从而给盗号者一个教训。那么这个漏洞是什么呢？
从前面对“啊拉QQ大盗”的分析中可以看到，配置部分填写了收取QQ号码信息邮件的邮箱账号和密码，而邮箱账号和密码都是明文保存在木马程序中的。因此，我们可以从生成的木马程序中找到盗号者的邮箱账号和密码。进而轻送控制盗号者的邮箱，让盗号者偷鸡不成反蚀把米。
注意：以上漏动仅存在于将QQ号码信息以邮件发送方式的木马，如果在配置“啊拉QQ大盗”的过程中选择使用网站接收的方式则不存在该漏洞。
2、网络嗅探，反夺盗号者邮箱
当木马截取到QQ号码和密码后，会将这些信息以电子邮件的形式发送到盗号者的邮箱，我们可以从这里如手，在木马发送邮件的过程中将网络数据包截取下来，这个被截获的数据包中就含有盗号者邮箱的账号和密码。截取数据包时我们可以使用一些网络嗅探软件，这些嗅探软件可以很轻松得截取数据包并自动过率出密码信息。
（1）命令行下的X_Sniff
X_Sniff是一款命令行下的嗅探工具，嗅探能力十分强大，尤其适合嗅探数据包中的密码信息。
将下载下来的X_Sniff解压到某个目录中，例如“C:\”，然后运行“命令提示符”，在“命令提示符”中进入X_Sniff所在的目录，X_Sniff的程序名是“xsniff”，所以在命令行中要启动该程序只需键入“xsniff”并回车，这时命令提示符会给出使用X_Sniff的提示信息。
根据提示信息，我们就使用“Example”中给出的命令：“xsniff.exe -pass -hide -log pass.log”即可，该命令含义如下：
在后台运行X_Sniff，从数据包中过虑出密码信息，并将嗅探到的密码信息保存到同目录的pass.log文件中。
嗅探软件设置完毕，我们就可以正常登录QQ。此时，木马也开始运行起来，但由于我们已经运行X_Sniff，木马发出的信息都将被截取。稍等片刻后，进入X_Sniff所在的文件夹，打开pass.log，便可以发现X_Sniff已经成功嗅探到邮箱的账户和密码。
（2）图形界面的sniffer
如果读者对命令行工具使用觉得不习惯，还可以使用图形化的嗅探工具来进行嗅探。例如适合新手使用的“Ace Password Sniffer”。该工具专门用于嗅探账户与密码，不过在运行“Ace Password Sniffer”之前，我们需要安装WinPcap驱动，否则“Ace Password Sniffer”将不能正常运行。WinPcap驱动主要是在驱动层主要作用是获取数据包。用户可以到https://WinPcap.polito.it去下载WinPcap驱动。当然“Ace Password Sniffer”也可以自动安装。
注：WinPcap是用于网络封包抓取的一套工具，可用来直接存取封包的应用程序界面。
运行“Ace Password Sniffer”。首先我们需要为“Ace Password Sniffer”指定一块网卡，单击工具栏上的网卡图标，在弹出的窗口中选择自己使用的网卡，单击“OK”按钮后即可完成配置。确认以上配置后，单击“Ace Password Sniffer”工具栏的“开始”按钮，软件开始了嗅探工作。
接下来，我们正常登录QQ，如果嗅探成功，就会在Ace Password Sniffer的界面中出现捕获的数据包，其中的邮箱账号密码信息被很清晰得罗列了出来。
得到盗号者的邮箱账号和密码以后，我们可以将其中的QQ号码信息邮件全部删除，或者修改他的邮箱密码，给盗号者一个教训。