熊猫烧香图标病毒详解

pasckr

                　　最近出现新的病毒名为熊猫烧香，危害较大，感染后所有EXE可执行文件图标变成一个烧香的熊猫，大家电脑如出现此现象可认真阅读以下文章：
　　一、病毒描述：
　　含有病毒体的文件被运行后，病毒将自身拷贝至系统目录，同时修改注册表将自身设置为开机启动项，并遍历各个驱动器，将自身写入磁盘根目录下，增加一个Autorun.inf文件，使得用户打开该盘时激活病毒体。随后病毒体开一个线程进行本地文件感染，同时开另外一个线程连接某网站下载ddos程序进行发动恶意攻击。
　　二、病毒基本情况：
　　[文件信息]
　　病毒名: Virus.Win32.EvilPanda.a.ex$
　　大 小: 0xDA00 (55808), (disk) 0xDA00 (55808)
　　SHA1 : F0C3DA82E1620701AD2F0C8B531EEBEA0E8AF69D
　　壳信息: 未知
　　危害级别：高
　　病毒名: Flooder.Win32.FloodBots.a.ex$
　　大 小: 0xE800 (59392), (disk) 0xE800 (59392)
　　SHA1 : B71A7EF22A36DBE27E3830888DAFC3B2A7D5DA0D
　　壳信息: UPX 0.89.6 - 1.02 / 1.05 - 1.24
　　危害级别：高
　　三、病毒行为：
　　Virus.Win32.EvilPanda.a.ex$ ：
　　1、病毒体执行后，将自身拷贝到系统目录：
　　%SystemRoot%system32FuckJacks.exe
　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun Userinit "C:WIN2Ksystem32SVCH0ST.exe"
　　2、添加注册表启动项目确保自身在系统重启动后被加载：
　　键路径：HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun
　　键名：FuckJacks
　　键值："C:WINDOWSsystem32FuckJacks.exe"
　　键路径：HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
　　键名：svohost
　　键值："C:WINDOWSsystem32FuckJacks.exe"
　　3、拷贝自身到所有驱动器根目录，命名为Setup.exe，并生成一个autorun.inf使得用户打开该盘运行病毒，并将这两个文件属性设置为隐藏、只读、系统。 C:autorun.inf 1KB RHS
　　C:setup.exe 230KB RHS
　　4、关闭众多杀毒软件和安全工具。
　　5、连接*****.3322.org下载某文件，并根据该文件记录的地址，下载某ddos程序，下载成功后执行该程序。
　　6、刷新bbs.qq.com，某QQ秀链接。
　　7、循环遍历磁盘目录，感染文件，对关键系统文件跳过，不感染Windows媒体播放器、MSN、IE 等程序。
　　Flooder.Win32.FloodBots.a.ex$ ：
　　1、病毒体执行后，将自身拷贝到系统目录：
　　%SystemRoot%SVCH0ST.EXE
　　%SystemRoot%system32SVCH0ST.EXE
　　2、该病毒后下载运行后，添加注册表启动项目，确保自身在系统重启动后被加载：
　　键路径：HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
　　键名：Userinit
　　键值："C:WINDOWSsystem32SVCH0ST.exe"
　　3、尝试关闭窗口
　　QQKav
　　QQAV
　　天网防火墙进程
　　VirusScan
　　网镖杀毒
　　毒霸
　　瑞星
　　江民
　　黄山IE
　　超级兔子
　　优化大师
　　木马克星
　　木马清道夫
　　木馬清道夫
　　QQ病毒注册表编辑器
　　系统配置实用程序
　　卡巴斯基反病毒
　　Symantec AntiVirus
　　Duba
　　Windows 任务管理器
　　esteem procs
　　绿鹰PC
　　密码防盗
　　噬菌体
　　木马辅助查找器
　　System Safety Monitor
　　Wrapped gift Killer
　　Winsock Expert
　　游戏木马检测大师
　　小沈Q盗杀手
　　pjf(ustc)
　　IceSword
　　4、尝试关闭进程
　　Mcshield.exe
　　VsTskMgr.exe
　　naPrdMgr.exe
　　UpdaterUI.exe
　　TBMon.exe
　　scan32.exe
　　Ravmond.exe
　　CCenter.exe
　　RavTask.exe
　　Rav.exe
　　Ravmon.exe
　　RavmonD.exe
　　RavStub.exe
　　KVXP.kxp
　　KvMonXP.kxp
　　KVCenter.kxp
　　KVSrvXP.exe
　　KRegEx.exe
　　UIHost.exe
　　TrojDie.kxp
　　FrogAgent.exe
　　Logo1_.exe
　　Logo_1.exe
　　Rundl132.exe
　　删除以下启动项
　　SOFTWAREMicrosoftWindowsCurrentVersionRunRavTask
　　SOFTWAREMicrosoftWindowsCurrentVersionRunKvMonXP
　　SOFTWAREMicrosoftWindowsCurrentVersionRunkav
　　SOFTWAREMicrosoftWindowsCurrentVersionRunKAVPersonal50
　　SOFTWAREMicrosoftWindowsCurrentVersionRunMcAfeeUpdaterUI
　　SOFTWAREMicrosoftWindowsCurrentVersionRunNetwork Associates Error Reporting
　　ServiceSOFTWAREMicrosoftWindowsCurrentVersionRunShStatEXE
　　SOFTWAREMicrosoftWindowsCurrentVersionRunYLive.exe
　　SOFTWAREMicrosoftWindowsCurrentVersionRunyassistse
　　禁用以下服务
　　kavsvc
　　AVP
　　AVPkavsvc
　　McAfeeFramework
　　McShield
　　McTaskManager
　　McAfeeFramework McShield
　　McTaskManager
　　navapsvc
　　KVWSC
　　KVSrvXP
　　KVWSC
　　KVSrvXP
　　Schedule
　　sharedaccess
　　RsCCenter
　　RsRavMon
　　RsCCenter
　　RsRavMon
　　wscsvc
　　KPfwSvc
　　SNDSrvc
　　ccProxy
　　ccEvtMgr
　　ccSetMgr
　　SPBBCSvc
　　Symantec
　　Core LC
　　NPFMntor
　　MskService
　　FireSvc
　　搜索感染除以下目录外的所有.EXE/.SCR/.PIF/.COM文件，并记有标记
　　WINDOWS
　　Winnt
　　System Volume Information
　　Recycled
　　Windows NT
　　Windows Update
　　Windows Media Player
　　Outlook Express
　　Internet Explorer
　　NetMeeting
　　Common Files
　　ComPlus
　　Applications
　　Messenger
　　InstallShield Installation Information
　　MSN
　　Microsoft Frontpage
　　Movie Maker
　　MSN Gamin Zone
　　删除.GHO文件
　　添加以下启动位置
　　Documents and SettingsAll UsersStart MenuProgramsStartup
　　Documents and SettingsAll Users「开始」菜单程序启动
　　WINDOWSStart MenuProgramsStartup
　　WINNTProfilesAll UsersStart MenuProgramsStartup
　　监视记录QQ和访问局域网文件记录：c:test.txt，试图QQ消息传送
　　试图用以下口令访问感染局域网文件(GameSetup.exe)
　　1234
　　password
　　……
　　admin
　　Root
　　所有根目录及移动存储生成
　　X:setup.exe
　　X:autorun.inf
　　[AutoRun]
　　OPEN=setup.exe
　　shellexecute=setup.exe
　　shellAutocommand=setup.exe
　　删除隐藏共享
　　cmd.exe /c net share $ /del /y
　　cmd.exe /c net share admin$ /del /y
　　cmd.exe /c net share IPC$ /del /y
　　创建启动项：
　　SoftwareMicrosoftWindowsCurrentVersionRun
　　svcshare=指向%system32%driversspoclsv.exe
　　禁用文件夹隐藏选项
　　SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvanced
　　FolderHiddenSHOWALLCheckedValue