pcMing工作室:O ~"e5p"i:iWorm.Nimaya.d 熊猫烧香变种 spoclsv.exe 分析和手工清除pcMing工作室
t\ T:]L hTP4Cf
2006-12-09 12:38
V0u Su$wd0pcMing工作室'p U7Qau4Ib
w一、病毒行为分析
#K t
Vh|A5`{0又一个FuckJacks.exe的变种，和之前的变种一样使用白底熊猫烧香图标，病毒运行后复制自身到系统目录下：
Gr Siw0%System%\drivers\spoclsv.exe
R-\;t,a4o*f%g8WF0{;i0ve
F0创建启动项：
(L*m6l s O e)K+J0[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
H:]Q*U L4sL f0"svcshare"="%System%\drivers\spoclsv.exe"
-zo8q/a*v Bb5q0pcMing工作室9igl7eV-H_z h修改注册表信息干扰“显示所有文件和文件夹”设置：
9[$Kw3l _lA.i1M0[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]pcMing工作室^oMR2e
"CheckedValue"=dword:00000000pcMing工作室0`+c M Q [ L]``!rC
~/wm*D _ SA*`0
5D-v"EVAm!^ft5m0在各分区根目录生成副本：pcMing工作室-wS9[dO
X:\setup.exe
*}vA e:Xt;^+Xt0X:\autorun.infpcMing工作室 c3z Q*h-i
pcMing工作室$T]IB"M*^XR{autorun.inf内容：
+PN [ @0o6y5B4n0[AutoRun]pcMing工作室1B%T+v,M l0G-g
OPEN=setup.exe
+Nga1N kX0shellexecute=setup.exepcMing工作室3w]i$y_#_9Kt
shell\Auto\command=setup.exe
Lr r'I'pK01]4I*c9r&\l0pcMing工作室7ZIs
BY'lR ww^/w
尝试关闭下列窗口：pcMing工作室4o
\v*t+r5G6\/V`
QQKav
m#y}(f"X!Z4r0QQAVpcMing工作室 Ab*L _ Uj\
VirusScan
!i,m3rGpp0Symantec AntiViruspcMing工作室0vm0`p'ux\
DubapcMing工作室.gz f/J2d
WindowspcMing工作室 i\]9GN$Q
esteem procspcMing工作室5?8F|6Y.^!_U8K[
System Safety MonitorpcMing工作室*l Pju1c R
Wrapped gift KillerpcMing工作室 U"b up]S*z:S
Winsock Expert
5o R f t9e\ e0msctls_statusbar32pcMing工作室7ME2[(_)W O)y aPS:\
pjf(ustc)
tR/B A L7N5EH N%^0IceSword
Z!O9f3Sy(VR+OP07[*^y/@7RS0
YJu?_$M*n0结束一些对头的进程：pcMing工作室h5@/^9pt w$~ L/w5M
Mcshield.exepcMing工作室
t o0u b+H
VsTskMgr.exepcMing工作室,N%Y x
beS Ya7B
naPrdMgr.exepcMing工作室2^:H }p)g*qt
UpdaterUI.exe
H b0kP \2Ul0TBMon.exe
;Zi l)c
t kf r0scan32.exepcMing工作室}9R@
^(WVQl,G
Ravmond.exe
a{U"FI/P-S
E\0CCenter.exepcMing工作室@ z m:bA!N
RavTask.exepcMing工作室)H)YT1Sf4j+g A1eYq
Rav.exe
"Q.OM-V,cr c0Ravmon.exepcMing工作室O0f0SE[2g-T0_
RavmonD.exepcMing工作室
ob-o-PzG
RavStub.exe
1}ul
T%d!^5S0KVXP.kxp
]}Yr i5m!{
WsO1Jr }0KvMonXP.kxppcMing工作室+v(f)Pak9hY
KVCenter.kxp
6U3j m n N3b&Q
u0KVSrvXP.exepcMing工作室:a&O*m[4e SU
KRegEx.exe
t{NhR0UIHost.exepcMing工作室*^/l^ Y W6G
TrojDie.kxp
:Aq&U\ `,z0\0FrogAgent.exepcMing工作室 D-C g9U,o7WW.b
Logo1_.exepcMing工作室1Kp{+vd
Logo_1.exe
8@K)L4Z u K0Rundl132.exepcMing工作室U6Q ln [M
pcMing工作室}-Bt2Q5K-@禁用一系列服务：
\
~*x*dx*~-C0SchedulepcMing工作室R-CeC&`.l9uY+G` cZ
sharedaccess
+y(t@8P6b:x;jP7`0RsCCenter
6d
X O/{;u:}0RsRavMon
U+U$]
\o#P {o9s0RsCCenter
$zZ M)I0L
^+z0RsRavMon
&E#{Fn!A V I0KVWSCpcMing工作室.Yxo#`!f H%pd
KVSrvXPpcMing工作室_!q)L4g.D){1e}
kavsvc
S(p"w
u.i!P y\h0AVPpcMing工作室)l? b7_[-F
McAfeeFramework
*f |r|0k+K%a
O0McShieldpcMing工作室} s ]
N-nj!L
McTaskManager
x a*V7V*_-T*A0navapsvc
$g%AS3u%?)b0wscsvcpcMing工作室.bO#a5u^
J
KPfwSvc
_S \n
]6@lz0SNDSrvc
OY w,[O4Y0ccProxy
d
m7x-V#M ]d
GKM'qU0ccEvtMgr
l,Y9a#A&Sm.l
O/w ^^ |0ccSetMgrpcMing工作室'~.X;ic'C
SPBBCSvcpcMing工作室&R6iA%f)Lr cc
Symantec Core LCpcMing工作室 v_u,{1pB
NPFMntor
4mPIG-N3h's M0MskServicepcMing工作室 dG(S,B,b(JV2~
FireSvc
doC7d6z Z+r e S08uu wy:o i4TOWuKr#b0删除若干安全软件启动项信息：
q;izV3d"A$E0RavTaskpcMing工作室f0fp3n)y
KvMonXP
Q3p7tB3aDD0kavpcMing工作室*['V&uvr]$X,gv@[
KAVPersonal50pcMing工作室P L/ts;Xa
McAfeeUpdaterUIpcMing工作室`J8IU_
Network Associates Error Reporting Service
H
tu1_
o$_/^0ShStatEXEpcMing工作室:C:FI`?~7U$^
YLive.exe
oFE|6f+nc2f0yassistsepcMing工作室8Oa9g N3D5i y]
~srY2[ Z;b8j!ji0使用net share命令删除管理共享：pcMing工作室
LXL G K(V-n
net share X$ /del /y
!x{)N(k7Kw]0net share admin$ /del /y
(D ^ A.L8m0net share IPC$ /del /y
9r:l S%Lza#Z0pcMing工作室:@(ZR sJ#?遍历目录，感染除以下系统目录外其它目录中的exe、com、scr、pif文件：
5Bf(ro/KN,l [0X:\WINDOWS
n"ke+jS&MGA0X:\WinntpcMing工作室
{R0I
e r._8?x
X:\System Volume Information
!m;m4i7U] tm0X:\Recycled
0}o}Ppw0%ProgramFiles%\Windows NT
8W#{ K icv0%ProgramFiles%\WindowsUpdate
SK!N,{+Y'ZW A Y0%ProgramFiles%\Windows Media PlayerpcMing工作室7] lqL7o
%ProgramFiles%\Outlook ExpresspcMing工作室1K ~V&y'YR!Tb ~"q H
%ProgramFiles%\Internet Explorer
Bn B+ZC*Xt0%ProgramFiles%\NetMeeting
,_x"yD+A q!wF7T y0%ProgramFiles%\Common Files
cl s}:g~0%ProgramFiles%\ComPlus Applications
6Fx:F`%UNK`+~2pu0%ProgramFiles%\Messenger
+r~R/~:|`0%ProgramFiles%\InstallShield Installation InformationpcMing工作室8g$P6M+J(x uLs
%ProgramFiles%\MSN
t0@UA_!| ]s{ v2X0%ProgramFiles%\Microsoft Frontpage
/Ws7O+C)b0%ProgramFiles%\Movie Maker
D"J } F/RkgmdT0%ProgramFiles%\MSN Gamin Zone
n vv(Jv8Tv0L,}"\c$Z,~+I3p-T#Q0
M9ij(]n-s h0将自身捆绑在被感染文件前端，并在尾部添加标记信息：pcMing工作室:J7i8G i qM,@%d
pcMing工作室U8Wd-r a;V)YLR7j.WhBoy{原文件名}.exe.{原文件大小}.
"~F i2P5nT0UfL0L*F J`'P0与之前变种不同的是，这个病毒体虽然是22886字节，但是捆绑在文件前段的只有22838字节，被感染文件运行后会出错，而不会像之前变种那样释放出{原文件名}.exe的原始正常文件。
%\ Db
O `0另外还发现病毒会覆盖少量exe，删除.gho文件。
a'CD JF8C R*T0e i V Rt#}X I0病毒还尝试使用弱密码访问局域网内其它计算机：
o v Ikm*v t E:d
V
g|0*A c&q/g w CTa6j\r0password
KZe~n7HS i0harley
8p/X q |f ^H Rd0golf
7u3z?+H
Kh"?e0pussy
C D/b*sp0mustangpcMing工作室5k P(e,?+V*kj;B5`D
shadow
2m7E4we-y%M*Q,n F2V0t%C0fish
8rA-B"M.L e6t0N#V5~0qwerty
z/I!}*V"a Y Ts0baseball
.G |O$J8T-Q;U5G0letmeinpcMing工作室F }E{ x1HR0La J
ccc
r$v#d h"L6E0adminpcMing工作室 ? iU J7O
abc
V\bu(dr+h7N0pwpcMing工作室6qk`!N})g
pass
-Y
Q6b!k V _0passwd
f#Nx6S4p&|0database
'?r|e \M0abcd
d r\[:e1p;q'Q v0abc123
V7L Hz [5k0sybase
N N['t!EK0123qwepcMing工作室le&u(b8FX SV]
serverpcMing工作室(A8xE2K W)A[p
computerpcMing工作室1lO X[tq C
super
o#H
{Oi g,c9o0123asd
bZ AqV0I jx2nzr0ihavenopass
As7\%eE4W4i0godblessyoupcMing工作室 J I6w:e5_ eN
enablepcMing工作室*~.Scr ig
y
C.E
alpha
;_hWUY8m9lbV01234qwerpcMing工作室9`-G U#E9eu9L
123abc
&H`"W M Fu7Q8h0aaa
H;Qh2Rkh/yS5k0patrick
? dx [J-l&u#X.R%m0patpcMing工作室{X` h S8c"csL
administrator
%[!V? ]0l5ejK0root
5F/thJ `"^Q
N0set
W:aS3Vh'RC:r:o0god
M9J0F-Fa/r jPZ0foobarpcMing工作室9b@~U3G |ZU/o4l
secrettest
^7gU qg1l0IL0test123pcMing工作室/xd+ZY i#F`
TH1P z
temp
9]u;`;R4u0temp123pcMing工作室p'\/y$S@q3bJ&M
win
3F#S^B.`^&N(l._0asdf
8_:RA-Wb @Q0pwd
b!eIH V;]S
d c5M `0qwerpcMing工作室 ^f+UgY w$n x
yxcv
y
A,mje-A0zxcv
\&sb I:q U0homepcMing工作室9p,v_*e,VD
xxxpcMing工作室/c
i:KM.@'Q-r
owner
&b4L*W(T3H+\0loginpcMing工作室]"V;c:q pM
Login
IDa{ JqQ0pw123pcMing工作室+L9uD mX2f i3p|/YC
love
]/r f
A\$[e s0mypcpcMing工作室X] A n/O:\
mypc123
(Pw
z
u9]RI_0admin123pcMing工作室$^d&t-`Bx+t
mypasspcMing工作室Oi7X9} Z2}?@,A
mypass123
\7uLVG(E a0901100
/A/[2D LvF_#a3wY
Z0Administrator
5`CZ0?;km0Guest
4J a$g
os8@*f&vn4x0adminpcMing工作室&RJ)g(Mk Pv+g
RootpcMing工作室v%Sd'hj5H
pcMing工作室 a3C:i"c$k二、手工清除步骤pcMing工作室\2V A-m s!x$S
pcMing工作室
NXwo7co1. 断开网络pcMing工作室%L*V.BtY x9G O p
2. 结束病毒进程pcMing工作室M|7L ITK
SzO
%System%\drivers\spoclsv.exepcMing工作室ww Z2R&FQ
pcMing工作室t4b p7[Z sOv3. 删除病毒文件：
O&@(h E^ tW0%System%\drivers\spoclsv.exepcMing工作室 q nj!O!u)T
pcMing工作室(PzJ5Pg4. 右键点击分区盘符，点击右键菜单中的“打开”进入分区根目录，删除根目录下的文件：pcMing工作室1v*m#fxm&CKhd0f
X:\setup.exepcMing工作室r,dS d5q;A,x
X:\autorun.infpcMing工作室g.w
~B?2O*g|
pcMing工作室4s&t)wx aY8A;R5. 删除病毒创建的启动项：pcMing工作室{ o+]:b-K&~Tw C
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
sDO|J [O
PY:E0"svcshare"="%System%\drivers\spoclsv.exe"pcMing工作室
t j B.IUz Qv
6. 修改注册表设置，恢复“显示所有文件和文件夹”选项功能：
f^3E _#?;U;M(` Yr)d0[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
2|:{8E!dy0"CheckedValue"=dword:00000001
;PuGk5W0pcMing工作室;k8yFu$H\9x7. 修复或重新安装反病毒软件pcMing工作室?D:B.yHv3~
pcMing工作室 w
I6z/@;v-{ lV8. 使用反病毒软件或专杀工具进行全盘扫描，清除恢复被感染的exe文件
B+f
v#lU/C2NPj0
