当心新版“熊猫烧香” - 瑞星卡卡安全论坛bbs.ikaka.com

瑞星卡卡安全论坛技术交流区 反病毒/反流氓软件论坛当心新版“熊猫烧香”

	瑞星ESM助力北京石龙医院筑牢安全防线		瑞星恶意代码管理系统助金华电力提升防御能力		俄乌冲突加剧网络攻击风险白俄罗斯政府遭APT攻击		助力国家网络安全瑞星获病毒应急处理中心感谢信
	实力拉满瑞星第四十四次通过VB100测评		瑞星发布2024年六大网络安全趋势		瑞星携手中国农业大学共筑网络安全防线		人工智能在网络安全领域的风险和机遇

12 3 4

1 / 4 页

跳转页

[原创] 当心新版“熊猫烧香”

本主题由大版主 lqqk7 于 2008-8-25 21:02:10 执行设置精华/取消操作

baohe 大版主帖子:72569 注册: 2003-04-10 来自:	发表于： 2008-07-15 16:58 \| 只看楼主短消息资料字号：小中大 1楼当心新版“熊猫烧香” 样本来自：http://bbs.janmeng.com/thread-779405-1-1.html 虽然叫“熊猫烧香”，但病毒文件的logo却是只狗。病毒行为与曾经流行过的熊猫烧香基本相同：感染.exe、.htm、.html。在系统分区根目录下释放一个驱动go.sys，加载后即刻自动删除。在各分区根目录下释放 .exe（文件名为三个空格）和autorun.inf。在所有文件夹中创建Desktop_.ini（内容为感染系统的日期）。复制系统中现有.exe程序的图标文件.ico到当前用户临时文件夹中。未受安全软件保护且未运行的.exe被感染后，如果用户运行之，则在各分区根目录以及系统的drviers目录下生成一个与原版病毒 .exe相同的病毒文件 .exe和suhost.exe（文件图标系被感染文件的图标）。病毒运行后瑞星20.53.10即刻被废掉。组策略被废掉（中了，就别再想用什么“软件限制策略”对付它了）。设置为启动加载运行方式的SSM则经受住了病毒的考验。以下几幅图是病毒运行后我处理它的截图 1.jpg (299.72 K) 2008-7-15 16:57:48 2.jpg (471.65 K) 2008-7-15 16:57:48 3.jpg (125.96 K) 2008-7-15 16:57:48 4.jpg (203.86 K) 2008-7-15 16:57:48 5.jpg (220.60 K) 2008-7-15 16:57:48 6.jpg (44.73 K) 2008-7-15 16:57:48 以下是经SSM处理后被我手工删除的病毒及其相关文件： 7.jpg (1040.45 K) 2008-7-15 17:13:45 用户系统信息：Opera/9.51 (Windows NT 5.1; U; zh-cn) 本帖被评分 1 次本帖被评分 1 次 baohe 最后编辑于 2008-07-15 17:41:14
baohe 大版主帖子:72569 注册: 2003-04-10 来自:	分享到：

zerohk 初生襁褓狮帖子:3 注册: 2008-07-15 来自:	发表于： 2008-07-15 17:05 \| 短消息资料字号：小中大 2楼回复：当心新版“熊猫烧香” 看看吧
zerohk 初生襁褓狮帖子:3 注册: 2008-07-15 来自:

tom2000 版主帖子:3576 注册: 2001-07-13 来自:晶体测评小组	发表于： 2008-07-15 17:17 \| 短消息资料字号：小中大 3楼回复：当心新版“熊猫烧香” 也叫"机械狗4代" 直接释放驱动,干掉还原! tom2000 最后编辑于 2008-07-15 17:20:30 TOM2000的城堡任何人任何软件都无法让你达到绝对安全，我们所做的只是最大限度的使你趋近于这个目标！
tom2000 版主帖子:3576 注册: 2001-07-13 来自:晶体测评小组

baohe 大版主帖子:72569 注册: 2003-04-10 来自:	发表于： 2008-07-15 17:32 \| 只看楼主短消息资料字号：小中大 4楼回复: 当心新版“熊猫烧香” 引用: 原帖由 tom2000 于 2008-7-15 17:17:00 发表也叫"机械狗4代" 直接释放驱动,干掉还原! 它的“SSDT恢复”并未摧毁SSM。
baohe 大版主帖子:72569 注册: 2003-04-10 来自:

天月来了版主帖子:76896 注册: 2007-02-06 来自:	发表于： 2008-07-15 17:32 \| 短消息资料字号：小中大 5楼回复：当心新版“熊猫烧香” 一旦流行，好烦的百年以后，你的墓碑旁刻着的名字不是我
天月来了版主帖子:76896 注册: 2007-02-06 来自:

tom2000 版主帖子:3576 注册: 2001-07-13 来自:晶体测评小组	发表于： 2008-07-15 18:05 \| 短消息资料字号：小中大 6楼回复: 当心新版“熊猫烧香” 引用: 原帖由 baohe 于 2008-7-15 17:32:00 发表引用: 原帖由 tom2000 于 2008-7-15 17:17:00 发表也叫"机械狗4代" 直接释放驱动,干掉还原! 它的“SSDT恢复”并未摧毁SSM。估计初始版本基本还是"实验"阶段某些功能代码尚未完善.但变种潜力巨大... TOM2000的城堡任何人任何软件都无法让你达到绝对安全，我们所做的只是最大限度的使你趋近于这个目标！
tom2000 版主帖子:3576 注册: 2001-07-13 来自:晶体测评小组

1fox 快乐黄口狮帖子:222 注册: 2008-05-03 来自:	发表于： 2008-07-15 21:12 \| 短消息资料字号：小中大 7楼回复：当心新版“熊猫烧香” 得提防了
1fox 快乐黄口狮帖子:222 注册: 2008-05-03 来自:

魔法学徒卡卡技术团队帖子:11465 注册: 2004-10-03 来自:	发表于： 2008-07-15 22:12 \| 短消息资料字号：小中大 8楼回复: 当心新版“熊猫烧香” 引用: 原帖由 tom2000 于 2008-7-15 17:17:00 发表也叫"机械狗4代" 直接释放驱动,干掉还原! 虽然释放驱动，但这个和机器狗没关系，还原SSDT方法也不一样。另外，那些什么xxx、第五代都是些噱头，到现在也没见过真正的样本
魔法学徒卡卡技术团队帖子:11465 注册: 2004-10-03 来自:

帝王时代的帅哥健康舞勺狮帖子:315 注册: 2007-07-05 来自:那美克星	发表于： 2008-07-16 16:43 \| 短消息资料字号：小中大 9楼回复：当心新版“熊猫烧香” 那些做病毒的人脑子不好啊。。。伤害那么多人，没意思。。。也不干点正经的。。。
帝王时代的帅哥健康舞勺狮帖子:315 注册: 2007-07-05 来自:那美克星

圣洁之神飘泊而立狮帖子:295 注册: 2002-04-22 来自:	发表于： 2008-07-17 08:39 \| 短消息资料字号：小中大 10楼回复：当心新版“熊猫烧香” 难道说中了只有格机吗？？真恐怖
圣洁之神飘泊而立狮帖子:295 注册: 2002-04-22 来自:

<<上一主题|下一主题>>

12 3 4

1 / 4 页

跳转页

页面顶部

Powered by Discuz!NT