9991.com阴魂不散?“多多QQ表情”病毒奥秘
发布非常感谢zz提供给我们的线索!有何看法，请大家不吝笔墨.
发布QQ表情本来是广受用户欢迎的一个实用工具，然而，最近有人却利用人们对QQ表情的喜爱，将其变成了一种恶性病毒.最近，笔者不断接到求助电话，受到一款名叫多多QQ表情病毒的骚扰.笔者随即对这款工具软件进行调查，发现了其背后还暗藏着惊人秘密.
发布真相:公开捆绑传播，被指暗藏病毒
发布在百度上搜索“QQ表情”，找到相关网页约1，660，000篇，搜索“多多QQ表情”，找到相关网页约660，000篇，通过这简单的计算，多多QQ表情拥有QQ表情市场近40%的市场zhan有率.那么这款有着惊人市场zhan有率的软件到底是一款什么样的软件呢?
发布根据其官方介绍，多多QQ表情是一款专门为腾讯QQ用户打造的免费软件，提供超炫QQ表情，点击就能导入QQ表情中，导入完毕就能在QQ聊天时使用，丰富您的对话.同时QQ表情还向软件作者和站长开出了价码，称将按0.05元一个的价格与软件捆绑，且特别声明，在安装成功后在添加删除程序中可以看到“多多QQ表情”选项，可自由卸载.
发布真相到底是怎样呢?在百度里，笔者发现得更多的却是和求助电话里类似的内容.
发布同时，笔者向一位做安全的朋友求助，他称，多多QQ表情虽然只有47K，而且表面上可挟载，但它确捆绑了另一个叫Update的病毒.而这已经大大超出了之前大家所定义的流氓软件的范畴，因为，在诺顿和瑞星里，大家已经将UPDATE定义成了病毒.
发布对UPDATE的分析
发布显性动作
发布[SetHomePage]Url=/
发布[PopupIE]Url=.cn/click.cgi?a=6606&d=3086&u=
发布[PopupIE]Url=发布[PopupIE]Url=
发布[PopupIE]Url=/
发布[PopupIE]Url=/
发布隐性动作
发布[Actions]访问Url=file.qqhelper.com/up/；.dat
发布[Update]升级Url=/mop/uninstalldrv.exe
发布[Update]Url=/softbaby/uninstalltmp.exe
发布[Update]Url=tongji.qqhelper.com/tj/tj?setupid=$(setupid)&mac=$
发布(computerid)&type=$(sendflag)&version=$(version)&exeversion=$
发布(exeversion)&set；=$(set；)
发布在机器生成以下目录以及文件:
发布C:ProgramFilesCommonFilesUPDATE
发布；.dat
发布；.exe
发布以上动作都是；.exe干的
发布另外生成一个目录以及文件:
发布C:ProgramFilesCommonFilesSAND
发布；sr.ini
发布svr.dat
发布qqfacerclient.exe
发布twunk_8.exe
发布还没有看到具体动作，有潜伏期.
发布背后:商业动机弹出全球百强网站
发布多多QQ表情敢于挑战法律，公开捆绑恶性病毒，目的何在呢?笔者随后又对其展开了进一步的调查.首先，笔者打开了其弹出的第一个网站9991的链接，吃惊的发现，这家成立于2005年10月第二个星期的网站，在ALEXA里的排名居然已经上升到了全球前100名.如果按照其REACH值1万来推算，其流量已经达到了新浪的七分之一.
发布那么这家网站又是通过什么手段如何神奇般在3个月之内的由0做到全球100名呢?那就是前面被诺顿和瑞星认定的多多QQ表情携带的UPADATE病毒.同时，笔者打开多多QQ表情指向的其他相关网站，同样发现了这个这恶性病毒所带来的巨额流量使这些网站在短期间内搭上了超级火箭.
发布谁是幕后黑手?
发布在百度里，笔者输入“9991”显示的第一条结果是‘9991实用生活网-网址大全-分类信息-实用查询‘，而对应的链接是(我要上)，而不是，进去一看，内容和9991一样，相关的联系方式和9991也是一模一样，可以断定，他们是同一个人所为.
发布在DONEWS一篇BLOG暴料:“现在网站打着‘9991.com是绿色安全网站，多家媒体宣传、推荐，点此查看‘，看来流氓改良了，不从事流氓事业了，关键是以前被你流氓的用户怎么摆脱痛苦!!!!又是谁注册的呢?自己没有到域名注册商那去搜索，而是直接到了去查，查询到的邮箱是whocool@163.com，，再回到baidu搜索这个信箱，原形就出来了!邮箱无一例外都指向了同一个人-——大名鼎鼎的庞升东.”
发布看来，表面的众多证据，都指向庞升东.但是，幕后到底又有怎样的实情?
发布经过几天的调查搜索，以及通过各种渠道联系到庞公司人员，挖掘了一线资料。
发布庞升东为人浮夸，善于攻心，并且此人靠炒股票，玩证券起家，十分喜欢投机，走捷径。
发布庞升东证券相关公司有：至诚证券http://[]海顺证券http://.cn[.cn]
发布9991.com999x.com7mp3.com600001.comzhicheng.comhaishuen.com.cn这几个超级病毒站点都是庞升东所有，庞升东此人喜欢收集域名，域名众多。51.com.86.net等等数百个。
发布此人极度圆滑，不要廉耻。
发布http://pangshengdong.com/log54.html[pangshengdong.com]
发布4、最近几天的恶意攻击事件已经报案，在上海公安局的协助下，排查工作正在展开，同时我们也请来了新浪和盛大的技术专家来协助。我们会用技术、法律以及其他各种方法来保护自身权益，毕竟，51.com60多号人都已经压宝在上面，我们输不起，只能不惜代价——拼命！
发布5、我们从来没有想过要去害人，尽管我们有相当的实力，无论是技术、资金、政府背景以及其他歪门邪道的关系。但是，当我们的生存根本受到威胁的时候，我们惟有反击。
发布庞升东的站点都是在做病毒捆绑等，谈什么不去害人。坏事做尽，定没好报，难道中国这么大，就没人管的了庞升东???，我身边的朋友，同事，机器几乎都中了9991，可见其覆盖面之广，到底9991捆绑了多少病毒软件???希望真的有人来管管！！此人通过大量软件捆绑的病毒恶毒之极，经常造成死机，自动重启，机器变慢等各种症状。
发布如何让这么多站点进入Alexa世界排名百位，千位呢?捆绑了多种百万用户级别常用共享软件，其捆绑思路与众不同，设置了潜伏时间，滞留了升级程序，也就是说每个机器都可以在他们的控制下随机弹出其他几个站，并且一旦中招并不立即毒发，有几个小时甚至一天的潜伏期，届时你可能在干其他的，或者浏览网站，怎么也不会想到是因为几个小时甚至几天前用的东西导致的病毒，什么东西捆绑量那么大呢?
发布捆绑软件：
发布1.多多QQ表情，几百万台机器安装。http://[]
发布2.连连看，过千万台机器安装。http://lianliankan.363.net[lianliankan.363.net]华军下载排行：ht.../hits/all_1.htm光此页连连看的下载量就近千万，何况除了华军还有天空，PCHOME等大的下载站。
发布3.陈桥智能五笔，过千万台机器安装。http:///[]
发布其他还有很多。
发布9991根本不是绿色站点，首页上写的各大网站报纸报道等全部都是花钱做的。推广也并非是外界说的外包。庞生东何其聪明，他有几百万去外包吗?出来混的，迟早要还的，庞升东，你的末日到了，在上千万台机器上投放病毒，严重影响用户使用，血债血还！！！
发布51.com
发布Alexa数据：http:///data/details/traffic_details?q=&url=