熊猫烧香图标病毒的详细分析 (删除GHO文件,尝试关闭杀软,结束进程)

威金(LOGO_1)过后的新威胁,熊猫烧香图标病毒的详细分析

在威金病毒的威胁渐渐归于平息的时候,熊猫烧香图标病毒又开始了对我们的新一轮疯狂攻 击,这个病毒和围巾一样,也是感染所有的exe文件,目前这个病毒也进入了急速的变种期,在我手头上最新的变种样本的测试中,截至到11月22号,金山和 瑞星均不能查杀,国内厂商在针对这个病毒的反应上还是有点慢,希望大家小心。

下面让我们看看这个病毒的详细分析

作者:killvirus

setup.exe
File size:22886 bytes
SHA-160: 5D3222D8AB6FC11F899EFF32C2C8D3CD50CBD755
MD5    : 9749216A37D57CF4B2E528C027252062
CRC-32 : DE81BD8A
加壳方式:UPack
编写语言:Borland Delphi 6.0 – 7.0
感染方式:恶意网页传播,其它木马下载,局域网传播,感染移动存储设备

尝试关闭窗口
QQKav
QQAV
天网防火墙进程
VirusScan
网镖杀毒
毒霸
瑞星
江民
黄山IE
超级兔子
优化大师
木马克星
木马清道夫
木馬清道夫
QQ病毒注册表编辑器
系统配置实用程序
卡巴斯基反病毒
Symantec AntiVirus
Duba
Windows 任务管理器
esteem procs
绿鹰PC
密码防盗
噬菌体
木马辅助查找器
System Safety Monitor
Wrapped gift Killer
Winsock Expert
游戏木马检测大师
小沈Q盗杀手
pjf(ustc)
IceSword

尝试关闭进程
Mcshield.exe
VsTskMgr.exe
naPrdMgr.exe
UpdaterUI.exe
TBMon.exe
scan32.exe
Ravmond.exe
CCenter.exe
RavTask.exe
Rav.exe
Ravmon.exe
RavmonD.exe
RavStub.exe
KVXP.kxp
KvMonXP.kxp
KVCenter.kxp
KVSrvXP.exe
KRegEx.exe
UIHost.exe
TrojDie.kxp
FrogAgent.exe
Logo1_.exe
Logo_1.exe
Rundl132.exe

删除以下启动项
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RavTask
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KvMonXP
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\kav
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KAVPersonal50
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\McAfeeUpdaterUI
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Network Associates Error Reporting 

ServiceSOFTWARE\Microsoft\Windows\CurrentVersion\Run\ShStatEXE
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\YLive.exe
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\yassistse

禁用以下服务
kavsvc
AVP
AVPkavsvc
McAfeeFramework
McShield
McTaskManager
McAfeeFramework McShield
McTaskManager
navapsvc
KVWSC
KVSrvXP
KVWSC
KVSrvXP
Schedule
sharedaccess
RsCCenter
RsRavMon
RsCCenter
RsRavMon
wscsvc
KPfwSvc
SNDSrvc
无党派人士roxy
ccEvtMgr
ccSetMgr
SPBBCSvc
Symantec
Core LC
NPFMntor
MskService
FireSvc

搜索感染除以下目录外的所有.EXE/.SCR/.PIF/.COM文件,并记有标记
WINDOWS
Winnt
System Volume Information
Recycled
Windows NT
Windows Update
Windows Media Player
Outlook Express
Internet Explorer
NetMeeting
Common Files
ComPlus
Applications
Messenger
InstallShield Installation Information
MSN
Microsoft Frontpage
Movie Maker
MSN Gamin Zone

删除.GHO文件  <——-注意这点

添加以下启动位置
\Documents and Settings\All Users\Start Menu\Programs\Startup\Documents and Settings \All Users\「开始」菜单\程序\启动\WINDOWS\Start Menu\Programs\Startup\WINNT\ Profiles\All Users\Start Menu\Programs\Startup\

监视记录QQ和访问局域网文件记录:c:\test.txt,试图QQ消息传送

试图用以下口令访问感染局域网文件(GameSetup.exe)
1234
password
6969
harley
123456
golf
pussy
mustang
1111
shadow
1313
fish
5150
7777
qwerty
baseball
2112
letmein
12345678
12345
ccc
admin
5201314
qq520
1
12
123
1234567
123456789
654321
54321
111
000000
abc
pw
11111111
88888888
pass
passwd
database
abcd
abc123
sybase
123qwe
server
computer
520
super
123asd
0
ihavenopass
godblessyou
enable
xp
2002
2003
2600
alpha
110
111111
121212
123123
1234qwer
123abc
007
aaaa
patrick
pat
administrator
root
***
god
foobar
secrettest
test123
temp
temp123
win
pc
asdf
pwd
qwer  yxcv
zxcv
home
xxx
owner
login
Login
pw123
love
mypc
mypc123
admin123
mypass
mypass123
901100
Administrator
Guest
admin
Root

所有根目录及移动存储生成
X:\setup.exe
X:\autorun.inf
[AutoRun]
OPEN=setup.exe
shellexecute=setup.exe
shell\Auto\command=setup.exe

删除隐藏共享
cmd.exe /c net share $ /del /y
cmd.exe /c net share admin$ /del /y
cmd.exe /c net share IPC$ /del /y 

创建启动项:
Software\Microsoft\Windows\CurrentVersion\Run
svcshare=指向\%system32%\drivers\spoclsv.exe
禁用文件夹隐藏选项
SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue

海色最新测试过结果:病毒22,886字节,头部写入病毒代码22,838字节,并在最尾部添加.WhBoy原文件名.exe.原文件字节数

此主题相关图片如下:

One thought on “熊猫烧香图标病毒的详细分析 (删除GHO文件,尝试关闭杀软,结束进程)

  1. 非常郁闷~我也中了这个病毒 不过不知道为什么没删掉我的.GHO备份,但是在DOS进入GHOST后是找不到备份的,不过在名字那输入 你备份文件的名字就可以打开.中了这个病毒之后DOS是用不了的,要进BIOS改成光启,用启动盘,在DOS下 按照刚才的说法还原系统,再重启,重启后不要进WINDOWS,因为你进了之后 即使还原了,还是有那病毒(..迷糊,估计是病毒在别的盘,我也不清楚,以为我电脑中病毒是别人弄的…),还会出现中毒后的现象.所以不要进WINDOWS在DOS下快速格式化除C盘外的其他盘,(因为C盘是刚恢复的,没有任何病毒),这样现在你电脑里就只剩一个空系统了,没有病毒了~不过其他盘的东西也了…Hehe呃 这种方法就是比从做系统要快些.

Comments are closed.