QQ游戏外挂收集色情文件,下载站提示并非木马病毒!

发布于 2021-04-07 08:19

六音在论坛看到帖子的时候也一脸懵逼，按照外挂程序正常的套路来说，不是把用户的电脑拿去挖矿就是勒索比特币，亦或者是收集用户个人隐私，然而却有这么一款外挂程序拿来收集色情信息。

根据外挂软件下载站的描述信息得知，这是一款集成了许多QQ游戏的机器人的游戏外挂程序，能够自动玩游戏，点亮游戏特技功能，提供超级辅助技能，让玩家进入上帝模式，降维打击对手。

根据火绒官方论坛的发帖内容得知：“近期，火绒工程师根据用户反馈，发现一款名为“QQ游戏智能机器人”的外挂程序，会针对广大游戏玩家，搜集和回传隐私数据，包括带有色情相关关键字的文件及含密码、账号、通信录、笔记等关键字的文件，被搜集的文件类型包括文档、图片、视频等“。

火绒官方声明：“火绒用户无需担心，火绒安全软件已对该外挂程序进行拦截查杀”。六音自己用的就是火绒，试了一下，确实被拦截了，不知道其他软件跟进了没有。如果您的电脑中存在或者正在使用该外挂程序，请速度删除。

火绒工程师通过分析发现，该外挂程序制作者会通过云端控制程序将任意QQ号列入黑名单，随后删除其大量文件。

除此之外，提供该外挂程序的下载站点，甚至会提醒用户 “个别杀软误报本软件，请不要相信，本软件不是病毒木马，运行辅助前请请先退出杀软“ 。

该外挂下载网站提示内容

此外，通过火绒官方发出来的详细分析内容得知，当用户使用“QQ游戏智能机器人”外挂软件时，软件会从服务器获取配置文件信息，配置信息中包含升级、黑名单、上传文件配置等信息。

文件配置信息

然后病毒会通过遍历 QQ UserDataSavePath 目录的方式获得用户机器上登录过的QQ号，如果用户QQ账号或点卡卡号在黑名单中，那么病毒便会遍历磁盘，删除除了后缀名为 .exe 、.dll 、.sys 、.ini 、.txt 、.db 、 .lnk 、.log 以及配置文件中 fileextp 字段后缀名以外的文件。

除此之外，恶意程序还会根据上传配置中的 fileext 和 fileext2 字段，遍历上传扩展名为 .doc 、.docx 、 .xls 、.xlsx 、.ppt 、.pptx 、.jpg 、.txt 、.zip 、.rar 、.mp4 、.wmv 、.mpeg 的文件(上传文件大小需小于16M)。

文件上传时，恶意代码会判断文件名中是否带有指定的关键字(yeskey为上传文件关键字、nokey为禁止上传文件的关键字)，并使用内置的云控上传模块上传。