最近发现有同行维护的网吧在上网的时候出现了一个很恶心的问题，就是在登录QQ后好友列表里面出现了陌生好友，或者市场弹出加好友验证码操作的情况。

这确实很值得吐槽，但是最重要的是找到原因和解决方法，经过一番测试发现这些情况主要是来源于某些去广告、不纯净的系统包、增值联盟、活跃在黑市的终端、甚至监管软件等等。这已经不是单纯的增值广告行为了！

经过使用PCHunter 检查 QQ.exe 下面挂载的DLL后发现主要问题是有twain_64.dll注入（或者twain_32.dll），explorer.exe下有SearchInd.dll 注入后导致的。

twain_64.dll是通过hook showwindow模拟加人操作。

SearchInd.dll是通过注入explorer监控QQ进程后执行jiaqq参数将twain_64.dll注入。

后来发现一种情况是通过QQ加好友的接口来完成。

解决办法：

1、检查客户机是否存在这个服务，有的话删除或禁用，记住是看执行程序msnetcache.exe就删除，不是看PeerDistSvc，这个服务大家都有，但是这个执行程序就不对了。

2、目前SearchInd.dll、twain_64.dll活动轨迹在C:\Windows目录内，换句话说就是做假体免疫！

3、使用深蓝维护通道或者组策略将两个dll文件彻底禁用。

4、禁止腾讯加好友进程Timwp.exe运行，可以用无盘软件进程禁止功能或深蓝维护工具或组策略禁止。

来源：陈德馨博客（微信/QQ号：35435164），转载请保留出处和链接！

地址：https://www.chendexin.com/archives/342.html