【消费电子实验室-2014/4/28】相信不少用户都或多或少地遇到过类似的情况，总是在朋友的QQ空间、QQ微博看到一堆莫名其妙的垃圾广告文章，总是在群空间看到一些人上传“奇奇怪怪”的文件，总是收到骗子冒充好友发来的诈骗信息。如此种种数不胜数，同样令人防不胜防。

　　那么究竟是谁在背后搞鬼？早期猖獗活跃的QQ盗号木马，在经过杀毒软件的长期打压以后已经越来越少。黑客利益团伙开始将黑手伸向QQ帐号验证的另一把开门“令牌”，这把“令牌”就是QQ用来验证用户身份的钥匙（ClientKey），它不是密码又胜似密码，拿到这把“令牌”以后黑客就可以使用他任意远程操作用户的QQ。而前面提到的种种烦恼大多都是用户QQ的这把“令牌”被黑客盗取导致的后果。

被黑客盗取的QQ“令牌”（ClientKey）

　　盗取QQ“令牌”和盗取QQ密码可以达到相似的作用，同时也有其特别之处：

　　 1.技术实施上更加简单有效，直接调用QQ的快速登录接口就可以获取到“令牌”。QQ一直在不断加强对QQ登录的保护，杀毒软件也在不断加强对盗号木马的查杀防御，传统的盗号技术手段已经很难取得好的效果，黑客只能另辟蹊径对QQ的另一安全认证软肋进行下手。

　　2.传播广度大、速度快。黑客往往通过盗取的QQ“令牌”向用户的群空间上传捆绑病毒的文件，或者向用户QQ好友发送木马文件。每个中招的用户都可能成为下一个传播源头，“一传十，十传百”的蠕虫病毒式传播手段可以快速感染大批量的用户。

　　3.利用方式隐蔽，影响危害巨大。QQ“令牌”被窃取不亚于登录密码被盗。除了被黑客用来传播病毒木马以外，多被用来传播营销广告，甚至是欺诈信息，对用户的安全威胁非常严重。

　　毒霸安全中心分析，QQ旗下大部分使用QQ“令牌”验证身份的业务，甚至包括支持QQ快捷登录的第三方网站，都可以被黑客使用QQ“令牌”绕过验证实现远程操作。一旦被黑客盗取QQ“令牌”，就可以拿来直接登录用户的QQ空间、邮箱、朋友网等，用户的私密日志、照片在黑客眼下曝光无余。

　　用户的隐私照片在黑客眼下曝光无余

　　

　　黑客盗取QQ“令牌”以后，通过伪造数据包可以直接在远程服务器上直接操作用户QQ，这个“令牌”在用户不修改密码的情况下可以甚至可以保持长期有效，所以往往是用户刚刚删除了垃圾日志就又被黑客重新发布，尤其是不断发送给好友的欺诈、色情信息，一旦中招带给用户的不仅仅是财产的损失，更是亲友间的尴尬处境。

　　下面我们通过一个实际案例来认识下这个QQ“令牌”木马：

　　近日，我们接到用户反馈，用户小G发现他的同学群和工作群都发现有人上传了一个名为“群成员联系方式[必看].htm”网页文件，没想到下载运行后电脑就出奇的卡和慢，随后就被自动安装上一堆莫名其妙的软件，拼命弹广告，怎么关都关不掉。

打开后会跳转到微云网盘的下载页面

　　我们联系到小G后，第一时间取到文件进行分析，技术人员发现这个所谓的“群成员联系方式[必看].htm”文件打开后，里面只有一行代码（打开这个网页会跳转到以下网址），打开后会跳转到腾讯微云，里面是一个共享文件“群成员联系方式[电子版].exe”。

开启毒霸防御会提示用户此跳转网站存在欺诈风险

　　技术人员从跳转的微云链接中下载“群成员联系方式[电子版].exe”放到桌面，还没来得及运行这个程序，金山毒霸立即提示发现病毒，建议立即清除。其实这个文件并不是什么群成员联系目录，经过技术人员分析，其实里面打包了一堆流氓软件和一个专门盗取QQ“令牌”的恶意木马，不小心中招以后不仅仅会被安装上大批的流氓推广软件，电脑运行越来越卡顿；还会被黑客盗取QQ“令牌”成为下一个木马传播源头，向群共享或者好友出发送相同的QQ“令牌”木马。

毒霸系统保护精准拦截安装包里捆绑的木马文件

　　金山毒霸安全专家介绍说，如果黑客一旦得到盗取的QQ“令牌”就可以直接登陆QQ相关的网站及第三方与QQ关联的登录接口，用户的个人隐私信息和虚拟财产将陷入危机。一旦发现自己或者朋友的空间被发布营销广告或者发送诈骗信息，最直接有效的办法就是立即修改QQ密码让被黑客盗取的QQ“令牌”失效。