威金（LOGO_1）过后的新威胁，熊猫烧香图标病毒的详细分析

J3V;K/^9^z~0威金（LOGO_1）过后的新威胁，熊猫烧香图标病毒的详细分析
UT]3~I'w&K:p02006-12-01 20:44pcMing工作室 N!{5chy8G o BJ@+y

C6K xzWg,p0在围巾病毒的威胁渐渐归于平息的时候，熊猫烧香图标病毒又开始了对我们的新一轮疯狂攻击，这个病毒和围巾一样，也是感染所有的exe文件，目前这个病毒也进入了急速的变种期，在我手头上最新的变种样本的测试中，截至到11月22号，金山和瑞星均不能查杀，国内厂商在针对这个病毒的反应上还是有点慢，希望大家小心。pcMing工作室A T2c2a&k'gi0e

下面让我们看看这个病毒的详细分析

作者:killviruspcMing工作室O Tcyb7eZBzKw

setup.exe
l4Bbkbv0File size:22886 bytespcMing工作室m.bGJ0Th9RT
SHA-160: 5D3222D8AB6FC11F899EFF32C2C8D3CD50CBD755pcMing工作室 F4O+z9q|6nVS
MD5    : 9749216A37D57CF4B2E528C027252062
T[J[F8t6Ye0CRC-32 : DE81BD8A
s
q&YI-LhOZ
p*b8p0加壳方式：UPackpcMing工作室6T"~;Dr$_ l\D
编写语言：Borland Delphi 6.0 - 7.0
Z_D&\vF8SC0t0感染方式：恶意网页传播，其它木马下载，局域网传播，感染移动存储设备pcMing工作室 E-[Xa5hY!c(U_

尝试关闭窗口pcMing工作室SQo/^-dnu{ }v ~
QQKav
(H+{!m?9j
Ge Z0QQAV
F'_F1MP:WU3O0天网防火墙进程pcMing工作室|I _H9{#|,Li6O
VirusScan
XN0kQ.oR0网镖杀毒pcMing工作室'Z4SE}@$m8x0M
毒霸
n ZcHKm
{asU0瑞星pcMing工作室 ?xOD0f6_o
江民pcMing工作室C4}s?4CJW
黄山IEpcMing工作室v)FZrTN
超级兔子pcMing工作室'tR
E+V4bI;|8B;M
优化大师
y!St,j"hI5Q0木马克星
jq2EMFZa$vq0木马清道夫
Z"AN;U%w0木馬清道夫pcMing工作室"|ySCG"`d
QQ病毒注册表编辑器
tPQpUD }-j0系统配置实用程序pcMing工作室t9{B$^P6z2t
卡巴斯基反病毒pcMing工作室5xW*tci9R XM
Symantec AntiViruspcMing工作室#\Q.@^4Lc4xDK{;g
DubapcMing工作室1w7` PB
GDG
Windows 任务管理器
||A$G+[Q-G0esteem procs
^4Ci6WB%V}O v)K@v0绿鹰PC
fmc/X1U'Ny0密码防盗pcMing工作室[ u!]H!Q6v2D;z#i
噬菌体pcMing工作室Cg\z,RI&Z
木马辅助查找器
s+sD(E
kn)N
`K0System Safety Monitor
%oU/G0O"Cn0Wrapped gift Killer
E;F5as+Hwq"D0n7r)oQo,N0Winsock Expert
^La0E W$d!H@3lKX0游戏木马检测大师pcMing工作室 b9E`8_8}0~u[
小沈Q盗杀手
nBGT-N0Nky)N0pjf(ustc)
"\3}
y,GuZ0IceSword

)SC~B(]XQA*O?0尝试关闭进程pcMing工作室s~K9IN2nc
Mcshield.exepcMing工作室u C9l)W5b
VsTskMgr.exepcMing工作室qDYoq2I@
naPrdMgr.exe
Px8]x2r|0UpdaterUI.exe
fr,SiK"O0TBMon.exe
!ja v/`W+q6Qt:?,Y&LnS0scan32.exe
/Ni&]:xD"KDw)S0Ravmond.exe
\-S,N&PP/Y0CCenter.exepcMing工作室.~Y]kR-X
RavTask.exepcMing工作室$uZ#v-is$zy P~O
Rav.exe
3eGV/V]n`0Ravmon.exe
X
qq7x/]*xXC0RavmonD.exe
.x%sPv3e0RavStub.exe
4Ft7HH,On0KVXP.kxp
BL6@9Q"l/eP&P0KvMonXP.kxp
2tG AF Z"e)qZM0KVCenter.kxp
$QJ1kf9b~6H!@0KVSrvXP.exepcMing工作室a
}$D0Q,d0i*?!{
KRegEx.exepcMing工作室2O4C2]$C*I Gr;QK
UIHost.exepcMing工作室 K4u*d8rrz
TrojDie.kxp
!Ga k(}K&\$[Za0FrogAgent.exe
!HQJ1]M^2a'z6K}0Logo1_.exe
jD
Ax4[$V6@0Logo_1.exe
0F7a7^$q S\0Rundl132.exepcMing工作室\7u1Y!M nLZUO_
@

cD.~0h KC[0删除以下启动项pcMing工作室-C*b%Rv6f
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RavTaskpcMing工作室)O8H X&Q$b.BG&g
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KvMonXPpcMing工作室T5dP*tm5V,B"C
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\kav
[!{[*UR7wd0SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KAVPersonal50
*lTia%D5AR0SOFTWARE\Microsoft\Windows\CurrentVersion\Run\McAfeeUpdaterUIpcMing工作室DOM |B"R!x$?
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Network Associates Error Reporting

;lo ?2@j[0ServiceSOFTWARE\Microsoft\Windows\CurrentVersion\Run\ShStatEXEpcMing工作室&s
f@7U*DuF y
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\YLive.exe
q*KF%au$v&W!|0SOFTWARE\Microsoft\Windows\CurrentVersion\Run\yassistse

禁用以下服务
Q(CU6A%Z0kavsvc
4AP'xv}h(x0AVP
.[we:}*rD2i:J0AVPkavsvc
$F }dJCd0McAfeeFramework
D1L5HDz ah0McShieldpcMing工作室 P?r4VLfH
McTaskManagerpcMing工作室H(Ub0~j.^y(c/jS
McAfeeFramework McShield
E-g;X{_:E&hN0^]S0McTaskManagerpcMing工作室u1V{ P&Cw1vX
navapsvcpcMing工作室GS}eCe6p
KVWSCpcMing工作室-LI3v_0ew
KVSrvXPpcMing工作室6a~&P:P+d@
KVWSCpcMing工作室\Q?br
KVSrvXP
f4y}K@M0yj2k0Schedule
P t n\1wD0sharedaccess
&J!R%[$W?Zk:_Y6n'F0RsCCenterpcMing工作室8j+l1{}}l^_t N
RsRavMon
X)`;z'S3kr0RsCCenter
vr\^ m:?0mTgR.U0RsRavMon

g(Q9A8G!J0wscsvcpcMing工作室P&oYY!yC~b'h7f
KPfwSvc
ko N-H@S%eb RFB0SNDSrvcpcMing工作室YvA9P8rL a$]8e7I
ccProxypcMing工作室 Gsag JnIJ
ccEvtMgr
-C K
O)GY,G0ccSetMgr
X;`.F[HU8l)P
k7fh0SPBBCSvc
b Rk1x4LSF0Symantec
0~(S!t%W5S7e0Core LCpcMing工作室5{\m~Ckk
NPFMntor
;OhNFO7Yti8l0MskServicepcMing工作室:DYA*xV`1X*M
FireSvc

搜索感染除以下目录外的所有.EXE/.SCR/.PIF/.COM文件，并记有标记
j
Bt,g }O2i,u0WINDOWS
._2z$O0Dp;W6rTD0Winnt
gnFN+X:I{2M8ox Q0System Volume Information
C0@1}z$w&`K#k{m0Recycled
2~6A8dN6C+^s1~&d0Windows NTpcMing工作室5I'ffI"t$ry8Zc
Windows Update
-ue*M"q
f}
Y0_0Windows Media Player
N8Su+}$G2J0Outlook Express
)cUr-w"nFf0Internet Explorer
(LjS(e2X/a7r,~0NetMeeting
3mS
Kz.{+JS5~B0Common FilespcMing工作室;T Q3wx+\`S
ComPlus
?QJG+yJ:U0ApplicationspcMing工作室pTqi6Q'`
Messenger
8S:w H:mnc$Sq0InstallShield Installation InformationpcMing工作室/f} EWp(D
ID
MSN
;lP.Y
o*Ckd"^0Microsoft FrontpagepcMing工作室7b+AjMB-s7|
Movie Maker
{V@2sqd|.Q0MSN Gamin ZonepcMing工作室V O,n0`@
zV

sv\!Z9v;V0删除.GHO文件  <-------注意这点pcMing工作室K!dtJ1i
W

添加以下启动位置
1L,}6o#c6Q$[Ws4b ?0\Documents and Settings\All Users\Start Menu\Programs\Startup\Documents and Settings\All Users\「开始」菜单\程序\启动\WINDOWS\Start Menu\Programs\Startup\WINNT\Profiles\All Users\Start Menu\Programs\Startup\pcMing工作室n9G.h\k

监视记录QQ和访问局域网文件记录：c:\test.txt，试图QQ消息传送

1]a x?vl4rh8W0试图用以下口令访问感染局域网文件（GameSetup.exe）pcMing工作室/c%GpYU!nI]
1234
0RaKus
[(J0password
r'PU
J&y W;N06969pcMing工作室 X~ a9m%x~l B
harleypcMing工作室)m:Rk7E?
123456pcMing工作室9@!fg3V
oN
golf
.Y*v I8VC0pussy
;G%h'm `9{u^0mustang
o(B6t HrL"^^'U01111pcMing工作室ci*] j8Zn$eb:I
shadowpcMing工作室t~'@Y4@
1313pcMing工作室J0B?MxdX!K
fish
@egj`r0@05150pcMing工作室H-?Z6zgU
7777
Ao:y%q0c
f0qwerty
8Q-F\H:C&M0baseballpcMing工作室P]F-X
l^-c0_c
2112pcMing工作室{lwQkE
letmeinpcMing工作室} `;T7i5r9z
12345678pcMing工作室\3o
CC(TSH
12345
5M{
h e#{^t9J0cccpcMing工作室l"j|w*n)E
adminpcMing工作室?VuS uB2GN
5201314
D auh^k0qq520pcMing工作室|(SY5e!z!l
1pcMing工作室&E0HdJ'I&R F:v
12
,J,`:U0`&N%X4c[0123pcMing工作室o4fI+V^ `
1234567
v C7`UcW-ZQ$]~0123456789pcMing工作室U!obL6eBA1D
654321pcMing工作室N.|3w![Wt6h
]Ity7G
54321
^"F2d2k4^|$zyj0111
D"ES,oV)F p3OR0000000
0a M] Q4l.j+@!gP)s"m0abc
Y[ch(Q O:xpR \\+C0pwpcMing工作室c(xbb!w:?v$H
11111111
Q'wTDUpmm088888888pcMing工作室lr"~ l[oE9_
passpcMing工作室5l0c8pi6Zsn(r
passwdpcMing工作室"Rw:u%Z
jeIY}`
database
(cQ-];}_;_+uZ0abcd
7Q1{ mY!g0L] \}0abc123
Q2\"b-\@p0sybasepcMing工作室$s6]r*H5?
123qwepcMing工作室d0MB9G"v2F{
server
n C-Ja|`0computer
^Z [e\)?#Nb0520pcMing工作室`N6~.Bf-o OGb.T
super
.[LtI H+SS sd]0123asd
oq(Mj.u3]I00pcMing工作室I
S8b xf2F*q
ihavenopasspcMing工作室%g@]/Os
godblessyoupcMing工作室5T4dk/F'Ub@.S2V
enable
I
QR+av+m0xp
U+Bw2S&u'{'VZ|02002
rx'n^ZCe,u m4R/q02003pcMing工作室({*l3^m;e:q(UB
2600pcMing工作室+`'p1X0Bz9@9D.cr
alphapcMing工作室:gEfoV7@0Ew
110pcMing工作室/z'Y?`5heLN
111111pcMing工作室^|3eg7O^
121212pcMing工作室B i'q'C)^za)_ ^H
123123pcMing工作室Mub ]G`0A
1234qwerpcMing工作室FC/@:v?4w {0X
123abcpcMing工作室@M7Bh\6W8P8N:nK
007pcMing工作室|}8I o"pdcnv
aaaapcMing工作室`{2I)\s
patrickpcMing工作室?~x@ m
patpcMing工作室AR#Gn
j0ZH(g#s
administratorpcMing工作室"P3Y;I_9Uu,Y
rootpcMing工作室$^1M!EOp+@H
***
6_3PK4Z1R|}_?3f0godpcMing工作室4^U{
?j v|
foobarpcMing工作室5yw&p&\v
OAe
secrettestpcMing工作室1P&\#Ko8j`0B1|(FQ
test123
JHP2Q)T+u;q"Z#f-i0temppcMing工作室7v(f+Tz&dgWB8j
temp123
$K5hRQ D#Iq+jHgM0winpcMing工作室^}?6QE[
pc
Y @1flO0asdf
.t3iE7d Q5^0pwd
YS9C#ZHG0E#yO0qwer  yxcv
:Kx,|W^(R&D;S^0zxcv
-k%{ u&`y2B1Tv0homepcMing工作室k.r,~xab3m&WCFS%\
xxxpcMing工作室/HB?5j#SG~2fAW
ownerpcMing工作室mvBH1P;u)G
loginpcMing工作室|#rFB)t*z
Login
%G'SuFYY e0pw123pcMing工作室dk9CRbg;orQ6Y(o8M:o:_
love
Xk4Z1st&Vj&}n1CJoA
]0mypc
)]u
a/N|
?HB0mypc123pcMing工作室-C'a'BO#q0mS2GQL
admin123
L[kDR`$o"i0mypasspcMing工作室GM { {Q
mypass123
*Wj)_Q G,d/QY9n(W$I0901100
e)t]!OO0AdministratorpcMing工作室6Y}?t}Uo
GuestpcMing工作室!T'UrKT1v#_
admin
%w llW/`
tP0Rz0RootpcMing工作室-Du%h)M*D;Y!K

所有根目录及移动存储生成
e`P3\.?#Uc9g@*i/Hp9^0X:\setup.exe
3d!?h1mY(P!K N7U0X:\autorun.inf
,j6J6y&T*LB0[AutoRun]pcMing工作室KQhLWGPC
OPEN=setup.exe
;~j,{u:g*?sQ,z0shellexecute=setup.exe
HK)NT,?H N(U[0shell\Auto\command=setup.exe

删除隐藏共享
a&E$Z~ g
A0cmd.exe /c net share $ /del /ypcMing工作室'YB.Je G d
cmd.exe /c net share admin$ /del /y
2B u2`V}5nV0cmd.exe /c net share IPC$ /del /y

创建启动项：
*N0e'lq2Zp0Software\Microsoft\Windows\CurrentVersion\Run
T |#F~m0svcshare=指向\%system32%\drivers\spoclsv.exepcMing工作室a#Nr)a m*k;{7]
禁用文件夹隐藏选项pcMing工作室b~g5R\\)o0XY
SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValuepcMing工作室(`\,[c;HX6r!_D

海色最新测试过结果：病毒22,886字节，头部写入病毒代码22,838字节，并在最尾部添加.WhBoy原文件名.exe.原文件字节数pcMing工作室6g0rx3{9h
f)Mi3Ho8{

pcMing工作室LV0cq
|3zbsD k*g%^S

【已经有19人表态】

感动

4票 路过

1票 高兴

3票 难过

2票 搞笑

5票 愤怒

2票 无聊

2票 同情

• [感动最多的] apache无法启动，提示the requested operatio 
• [路过最多的] QQ协议分析之TCPF包数据分析
• [高兴最多的] 基于内核的rookit经验
• [难过最多的] 浏览器劫持的攻与防
• [搞笑最多的] 简明批处理教程
• [愤怒最多的] 系统常规急救之系统文件的恢复 
• [无聊最多的] 简单有效的防制垃圾引用（第1版） 
• [同情最多的] 解决无线网卡配置信息无法保存问题