瑞星卡卡安全论坛

的確是一個值得大家去思考,以及面對的問題

病毒名称：Worm.WhBoy.h
病毒中文名：熊猫烧香(武汉男生)

病毒类型：蠕虫

危险级别：★★★★★

影响平台：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

专杀工具：金山专杀工具    安天专杀工具      江民专杀工具      安博士专杀工具      赛门铁克专杀工具

病毒描述：

“武汉男生”，俗称“熊猫烧香”，这是一个感染型的蠕虫病毒，它能感染系统中exe，com，pif，src，html，asp等文件，它还能中止大量的反病毒软件进程并且会删除扩展名为gho的文件，该文件是一系统备份工具GHOST的备份文件，使用户的系统备份文件丢失。被感染的用户系统中所有.exe可执行文件全部被改成熊猫举着三根香的模样。



1:拷贝文件

病毒运行后,会把自己拷贝到C:\WINDOWS\System32\Drivers\spoclsv.exe

2:添加注册表自启动

病毒会添加自启动项HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run svcshare -> C:\WINDOWS\System32\Drivers\spoclsv.exe

3:病毒行为

a:每隔1秒寻找桌面窗口,并关闭窗口标题中含有以下字符的程序：

QQKav、QQAV、防火墙、进程、VirusScan、网镖、杀毒、毒霸、瑞星、江民、黄山IE、超级兔子、优化大师、木马克星、木马清道夫、QQ病毒、注册表编辑器、系统配置实用程序、卡巴斯基反病毒、Symantec AntiVirus、Duba、esteem proces、绿鹰PC、密码防盗、噬菌体、木马辅助查找器、System Safety Monitor、Wrapped gift Killer、Winsock Expert、游戏木马检测大师、msctls_statusbar32、pjf(ustc)、IceSword

并使用的键盘映射的方法关闭安全软件IceSword

添加注册表使自己自启动 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run svcshare -> C:\WINDOWS\System32\Drivers\spoclsv.exe

并中止系统中以下的进程:

Mcshield.exe、VsTskMgr.exe、naPrdMgr.exe、UpdaterUI.exe、TBMon.exe、scan32.exe、Ravmond.exe、CCenter.exe、RavTask.exe、Rav.exe、Ravmon.exe、RavmonD.exe、RavStub.exe、KVXP.kxp、kvMonXP.kxp、KVCenter.kxp、KVSrvXP.exe、KRegEx.exe、UIHost.exe、TrojDie.kxp、FrogAgent.exe、Logo1_.exe、Logo_1.exe、Rundl132.exe

b:每隔18秒点击病毒作者指定的网页,并用命令行检查系统中是否存在共享，共存在的话就运行net share命令关闭admin$共享

c:每隔10秒下载病毒作者指定的文件,并用命令行检查系统中是否存在共享，共存在的话就运行net share命令关闭admin$共享

d:每隔6秒删除安全软件在注册表中的键值

并修改以下值不显示隐藏文件 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL CheckedValue -> 0x00

删除以下服务:

navapsvc、wscsvc、KPfwSvc、SNDSrvc、ccProxy、ccEvtMgr、ccSetMgr、SPBBCSvc、Symantec Core LC、NPFMntor MskService、FireSvc

e:感染文件

病毒会感染扩展名为exe,pif,com,src的文件,把自己附加到文件的头部，并在扩展名为htm,html, asp,php,jsp,aspx的文件中添加一网址，用户一但打开了该文件，IE就会不断的在后台点击写入的网址，达到增加点击量的目的,但病毒不会感染以下文件夹名中的文件：

WINDOW、Winnt、System Volume Information、Recycled、Windows NT、WindowsUpdate、Windows Media Player、Outlook Express、Internet Explorer、NetMeeting、Common Files、ComPlus Applications、Messenger、InstallShield Installation Information、MSN、Microsoft Frontpage、Movie Maker、MSN Gamin Zone

g:删除文件

病毒会删除扩展名为gho的文件，该文件是一系统备份工具GHOST的备份文件使用户的系统备份文件丢失。


武汉人就是猛....

我为什么没中招？

这就是要逼着大家都学会安装防火墙，及时打系统漏洞补丁，重视网络安全问题。

好像防火墙也没什么大作用。
最后说明一下本人的观点：
    病毒制造者永远不会得到正名，他们就应该一辈子背负骂名，因为它所制造的病毒最伤害的是最底层的平头老百姓！为什么？大家都知道羊毛出在羊身上，哪怕你对某些公司造成再大的损失，倒霉的都只有员工--基层老百姓；99%的基层老百姓，没钱买的起一系列的正版软件，中毒最深的也是他们；被木马攻陷最多的依然是穷苦老百姓，因为买不起正版呀！
    所以政治基础是需要的，他会让你看到较根本的东西，就算你再怎么对现实不满，也请先学学政治和经济一类的学科，然后再考虑你做的事情到底是伤害了谁？！
    时间匆忙，要上工地现场指挥，言语不通处还请大家见谅！
    最后希望高手们能够一如既往的帮助大家！！

嗨，希望熊猫真的能给我们众多的网民和安全厂商提个醒！！！

我们公司没有感染~~~~~
偷笑中学习~~~~

奇怪,我上网没事,工厂上网就中招,真邪门了

上个月曾经中过熊猫，太恐怖了，重装的系统。不料前天又重蹈复辙，看着那几个可恶的小熊猫，似乎在嘲笑我：又中招了。我的ＷＩＮＲＡＲ不能用了，怎么办呢？晚上睡觉都在杀毒。今天上班的第一件事就是下载了瑞星２００７版，报着试试看的心态——杀毒，没想到真的全部杀掉了，高兴啊，当时的心情就像刚从冰箱拿出的雪碧——爽！
　　真的感谢瑞星，帮了我这么大的忙。特别是在现在特殊的时候，国外杀毒软件不能升级，病毒激增，瑞星能站出来，承担社会的责任，让广大用户可以免费使用至３月２９日，真诚的感谢瑞星！！！

个人认为这次是熊猫病毒胜了，要靠病毒作者自觉的放下屠刀才能避免更多的电脑中毒．
这不能不说是国内反病毒界的一个悲哀和耻辱
那些平时吹嘘得多厉害的杀软及专家在熊猫的面前显得是多么的软弱无能．
所谓的技术显得是多么的苍白．．．．

我倒希望是熊猫继续更新，而最终反病毒界能找到真正对付其的好办法，好工具！

看不懂！我的两台电脑幸免于难！庆幸

完了，，妈的，，刚才开业的网台中了熊猫了，，

累死网管们了，，

瑞星是个垃圾软件 我的QQ87685302

我怎么没有被感染，幸运啊

9楼说的满对的,现在的用户就是这样!不知道 都在想些什么!

经济利益啊！！！

个人认为，是使用电脑这个工具的人群越来越强大，而专业性的电脑知识反而越来越少。
电脑普及了，是不是学校里也该开设电脑课了？教授一些专业的电脑知识呢？

真的很佩服熊猫烧香的作者,也很佩服各位反毒人士!

楼主分析 的 真是 相当 精辟 受教了

这病毒，真厉害1！

郁闷啊~~!我电脑也中病毒...

对于一个损害别人系统文件，使企业和个人都蒙受巨大损失的病毒，楼主居然说是“作者的目的是对普通用户的一次警醒，更是对安全厂商的一次嘲弄！”
　　真是一派胡言！！
　　看到很多消息说有的网吧瘫痪了，有人编写的程序只到一半都损失了，也许很多人就是靠网吧、程序来赚钱生活，说是给个教训不为过，要说是什么作者的目的是警醒，就他造成别人的损失来看也未免太轻描淡写了，拜托楼主在写文章之前不要只顾着自己抒发理论，也先想想别人的实际感受。

tom2000 斑竹别的观点我赞同，但是：“因为它的最终目的不是为得到经济利益。难道“熊猫”是回到早先的黑客们为录炫耀自己的技术而诞生的？”

这句话我不赞同。

大家都知道“熊猫烧香”病毒本质上是一个木马下载器，可以下载很多 网游木马和QQPass 木马，是一个木马运输机，这样就可以赚取经济利益的，可以和木马作者分赃，是典型的“黑客经济”产业链，怎么能仅仅是一个 “对普通用户的一次警醒，更是对安全厂商的一次嘲弄！” 这么简单的目的呢？

EN，说得有道理

顶呀！有些人只装杀毒软件，而忽略了防火墙！难道他们不知道防火墙是第一防线吗？

谁叫微软卖给我们的“衣服”全是洞眼呢~~哎。。。。

还好我没有感染,真是万兴.不过我不知道怎么下载补丁啊,能告诉我吗?谢谢了

咳，我师弟的电脑也中毒了！

【回复“飘飘飘飘任逍遥”的帖子】
那是你还没遇上，等你品尝到它的滋味时，你就不那么说了。它能感染不是一个或几个文件，它能让你系统中所有的EXE和COM文件都成为它的载体，还有WINDOWS系统赖以存在的html,htm,asp等文件，都会让它寄生。惨啊，一台机子除了几个主病毒体外，还感染了近7000多个文件，你还能说你的机子零漏洞吗？最要命的是，把你自认为是系统救命稻草的ghsot备份文件给删除了，面对你的，恐怕是要重做系统了……

无语。。低头走过