【CISRT2006081】熊猫烧香变种 spoclsv.exe 解决方案

排行榜 收藏 打印 发给朋友 举报 来源： 互联网   发布者：未知

热度1136票  浏览144次 【共0条评论】【我要评论】 时间：2010年1月18日 23:35

档案编号：CISRT2006081pcMing工作室-D%A+U_ i8kt2jX
病毒名称：Worm.Win32.Delf.bf（Kaspersky）
`sULC+_k0病毒别名：Worm.Nimaya.d（瑞星）
6`Tse0B0{z0　　　　　 Win32.Trojan.QQRobber.nw.22835（毒霸）pcMing工作室ObGT,h
病毒大小：22,886 字节pcMing工作室0a S*N7eQ5l&ho
加壳方式：UPack
mZ.er*DBO0样本MD5：9749216a37d57cf4b2e528c027252062
/s?%p(}t0样本SHA1：5d3222d8ab6fc11f899eff32c2c8d3cd50cbd755
_$dOi4\/b6y V0发现时间：2006.11pcMing工作室IpR/oyt mGDX
更新时间：2006.11pcMing工作室
k6@ no$G*N7M
关联病毒：
c7DyW U|(k*M0传播方式：通过恶意网页传播，其它木马下载，可通过局域网、移动存储设备等传播
!FnBA(w3@0
CJ6{9wQ'j0
Hs#r z_x#?0技术分析
cFxQ&_!T[_9p0==========pcMing工作室~N{'`!K~4G

-^!]1p7nU6SJ,f_^_0又是“熊猫烧香”FuckJacks.exe的变种，和之前的变种一样使用白底熊猫烧香图标，病毒运行后复制自身到系统目录下：pcMing工作室\Q9fCr
%System%\drivers\spoclsv.exe
v.s6r6T&ryo0pcMing工作室|[fr~)Rv#GN P
创建启动项：pcMing工作室IskL#P-Q^]3}dYc;c&J

v.YWY
v%}nY*Y0pcMing工作室ia3q!SI*g l
修改注册表信息干扰“显示所有文件和文件夹”设置：
2@'Y:X^3j@!B0pcMing工作室h6k9j!Q2K
pcMing工作室 `MlQc
在各分区根目录生成副本：pcMing工作室_5ab/~$Z-sm
X:\setup.exepcMing工作室proIb7m
X:\autorun.inf
*]!gxCwIrY&Sa0pcMing工作室7NB1N.DFC
autorun.inf内容：
'Od+DM1G%@0
)WQr+s*w]0
)y;M(zGU-A0尝试关闭下列窗口：pcMing工作室q&ak/j&` N4N!h5JLl(W
QQKav
"V e4Q2T(J!v0QQAVpcMing工作室r"q&~)j}'P/^1mCf3[
VirusScan
:oe o$l/Ts0Symantec AntiVirus
2i1EMq2r!G0Duba
#N;k_t e@;H0WindowspcMing工作室-p;?&J&L&kI
esteem procspcMing工作室J3Z.\BP+f2Q%Jn
System Safety MonitorpcMing工作室;Ux7j},ro
Wrapped gift KillerpcMing工作室)e3SE BI/Y+I
Winsock Expert
(T[Gg"D:F&q0msctls_statusbar32
+k"q"Sl_v%w8W:p0pjf(ustc)pcMing工作室e I#v#EW.| v
IceSwordpcMing工作室C1`(Ai9g8w9T8Y
pcMing工作室-Z,_"Ixf
结束一些对头的进程：
a+b
e#J(`0Mcshield.exepcMing工作室 J%~p+S;FX
VsTskMgr.exe
-Le(c-k6j;t'Jb2W2@0naPrdMgr.exe
r ok7x|0UpdaterUI.exe
D]2F.WL8a}0TBMon.exepcMing工作室8^YEt0^)h
scan32.exe
?*o;{UnN8{0Ravmond.exepcMing工作室.U([Qf:W`z b7g3W4C"U
CCenter.exepcMing工作室ou6w gk.O^3G
RavTask.exepcMing工作室7os/R,E|zZm$vp#p5j
Rav.exe
1T-`K+TJ6v`Qe0Ravmon.exepcMing工作室j9r,K]1N-_@7Q;_
RavmonD.exepcMing工作室2L.?l&V'Pv.r#jB\
RavStub.exe
%Lo ]0B
vn4X0KVXP.kxp
c#Qap,J6\0KvMonXP.kxppcMing工作室/l/plF&E:l
KVCenter.kxppcMing工作室v0r'F
?} KSRC^,We
KVSrvXP.exepcMing工作室8j"k,fc~$|F q]$j3Y
KRegEx.exepcMing工作室 }T0^#x1N)j
UIHost.exe
.WPoZ7Q!cV8YKL0TrojDie.kxp
G,x1zI*RA%O*JM0FrogAgent.exe
\x5C)d9W0Logo1_.exepcMing工作室@;g#P+np8z
Logo_1.exepcMing工作室*x8NC!nS.B~
Rundl132.exe
.V6h ^q6kAg.Z0pcMing工作室 ]rhH
dg(coP
禁用一系列服务：pcMing工作室MlQQdD
Schedule

u![)w3yXZ z0sharedaccess
oW(y\y%b {Tv+W0RsCCenter
*r"`.a8H\2eO0RsRavMonpcMing工作室i'@!n6z+{:J
RsCCenterpcMing工作室`K`9]#y.W!l~
RsRavMonpcMing工作室Lpk a_N
KVWSCpcMing工作室*Y%jDo6IN _-~9x5V
KVSrvXP
J5f+_So0f?AbmH[0kavsvc
$y}GL
m
_2p0AVP
Ozdo(VC:Z0McAfeeFramework
4RY.m/TB0McShield
#Ar H4Y!{Ttt0McTaskManager
4?+A2R#[p;DX3~4k"s0navapsvcpcMing工作室2I%W2P'R/O-p
wscsvc
A!PtzQ*U2`0KPfwSvcpcMing工作室9|8o_,wF(a
g&q(eh
SNDSrvcpcMing工作室+X"m | ]9X Y Hz7n,U9V9i
ccProxypcMing工作室iz7\`T
C
ccEvtMgr
&y,ydy\0ccSetMgrpcMing工作室V)~ A6dy
SPBBCSvc
(cDWp^#eEJ\4m0Symantec Core LCpcMing工作室k&ECoj*r{
NPFMntorpcMing工作室Z$\DF(P T7U/f^D
MskServicepcMing工作室$w1h\5d,}9Nn
FireSvc
FQb%QA%zgxT&z&~0
1q'x)I0utq!~0删除若干安全软件启动项信息：
0Ubd&_6g#eO0RavTaskpcMing工作室@YB/D Jd:W
KvMonXP
"By\4N:H-|c"Tr8?0kav
7x`Ip2EAL%o;e x?0KAVPersonal50pcMing工作室2tJHd5m2] }
McAfeeUpdaterUIpcMing工作室T6vL1_.H9{}
Network Associates Error Reporting ServicepcMing工作室{'oy*H {EZ8IT
ShStatEXE
'h+H$L"R
]z~&z0YLive.exepcMing工作室 s
tPT(yH,mB&\
yassistse
C!P1U7pG.hV+Pc
|0pcMing工作室~#xQ*T6Y)Ji}3l
使用net share命令删除管理共享：pcMing工作室K#g"O t9`y g2V
pcMing工作室%G o5?*P z(U#_Q5qV
pcMing工作室 z+hS#uX;x0B,H$Y8g
遍历目录，感染除以下系统目录外其它目录中的exe、com、scr、pif文件：
e w(]\ruW I{0X:\WINDOWSpcMing工作室6_E+B"yY,zC
X:\WinntpcMing工作室9K\C6@"tb
X:\System Volume InformationpcMing工作室Nh p0o&\-aiz C
X:\Recycled
4LA#y PWKLgr0%ProgramFiles%\Windows NT
(W'`.G4b^Q/oLBR0Jz0%ProgramFiles%\WindowsUpdatepcMing工作室,?]6~,G7b'G"f)GQR
%ProgramFiles%\Windows Media PlayerpcMing工作室K*jy"Mv/r$X)I
%ProgramFiles%\Outlook ExpresspcMing工作室~6giR9Z/N.d/OX
%ProgramFiles%\Internet ExplorerpcMing工作室F'jpOr%me3O
_
%ProgramFiles%\NetMeeting
&La_"`t0%ProgramFiles%\Common FilespcMing工作室8^`%\x7[*Zts0d*F
%ProgramFiles%\ComPlus ApplicationspcMing工作室Nu:mA8TRK$wC
%ProgramFiles%\Messenger
(Fq6G:]6r$|,E0%ProgramFiles%\InstallShield Installation Information
#]oB+B4o\1~z8ch0%ProgramFiles%\MSN
c;Zi3b'R)yN,m:~0%ProgramFiles%\Microsoft FrontpagepcMing工作室iC7k;G%W8u%L La
%ProgramFiles%\Movie MakerpcMing工作室#pyP `b6j
%ProgramFiles%\MSN Gamin ZonepcMing工作室5pt5C)SJN+l8~
pcMing工作室 TT4^|1MjM
将自身捆绑在被感染文件前端，并在尾部添加标记信息：pcMing工作室F-E1G;X,v'yWO[

u&C!p Q4N0_ Q-A0pcMing工作室}
`(Y0j~NF(j#R
与之前变种不同的是，这个病毒体虽然是22886字节，但是捆绑在文件前段的只有22838字节，被感染文件运行后会出错，而不会像之前变种那样释放出{原文件名}.exe的原始正常文件。
;h@7az'i5Yq0pcMing工作室u){(oftZ#P,g
另外还发现病毒会覆盖少量exe，删除.gho文件。
o&O!o|u0
/u `?[4u3K&o#@)D}0病毒还尝试使用弱密码访问局域网内其它计算机：pcMing工作室2K8\-^5{.FC
password
EFX#Q!{"g;}"]9d`[1@0harleypcMing工作室*jbs ^HY4N7DcU
golfpcMing工作室e6pKhPI n
pussy
c wa1oM6y%p a0mustang
&gV;holp0shadow
7FO-]!k.EL1Md0fish
ae)K t+yy3I&e?u0qwertypcMing工作室O,Cg^ PBx%?
baseballpcMing工作室(k)D!eSe3mm%G
letmeinpcMing工作室{w#NG2B~x"S.C
ccc
)R&^+U7@/y;t0admin
&swn+r1f6f0abc
$N IV.nQ:k s0pass
/O6DqY$W0passwdpcMing工作室w8i {7p,{:R'r\9tO)l
databasepcMing工作室(TWF-d5F-Z0Zy{
^]
abcdpcMing工作室,U1[4]w_,e
abc123
%\Jh;U/b$G*qU q.C-M?0sybasepcMing工作室&Y
a]|7y8\Zv7M6w B
123qwepcMing工作室`(RSrP I?$f
server
K PNSI(|6a&D0computer
f'Vp0s1G`0super
dR.kC2in,w0123asd
|_-y'n0l"}C(}l0ihavenopass
.G)~Z4Z ?0godblessyou
-r7f3S'_(p*PZ0r!S1EU0enablepcMing工作室0? ? sQZ/j8T4J
alpha
j nd$nRH01234qwerpcMing工作室7H0tc!z I+n
123abcpcMing工作室P F!d\1j6p?o_
aaa
2B%i%ZPOqX1WU0patrickpcMing工作室Y:`C T1\r&b
patpcMing工作室"}4ia5dwl"Z}*bt
administrator
v'H}%kJm%Q_0root
Y(T0mXiqIF]n0sex
L9[d(N*}"Fi0god
8G+Ma&Y8^(S(x6G.w:Z*C%s0foobar
)O&o?-|)}[ g1lL0secret
#}P8oA#Ms {Q0X0test
)MM9p2gw:T g0test123pcMing工作室*f.Ig2c!_7h
temppcMing工作室7\jXO?{-EE q
temp123
'_&[/L7?9RT$O0win
%r(NI7JlBb8vh0asdfpcMing工作室`7w4u [Mn'RXt)eb
S
pwdpcMing工作室+P;UDy!n/e
qwer

t \XRM0yxcvpcMing工作室6[)g2{.t_/LF(A%V
zxcv
M,C%w"}~0homepcMing工作室Q1_
SX ~X&^
xxx
Pv1L5ca5L0ownerpcMing工作室 NT;U2L.vt
loginpcMing工作室p*a1Qmx
LoginpcMing工作室F7l:k U M9A$H [&X
lovepcMing工作室z%hEj+f2G
mypcpcMing工作室&e!F&KG3_8p[ oF
mypc123pcMing工作室 Z pvD*U;]B6f
admin123
,k z/f ~ tc:R0mypasspcMing工作室 _m-f:RZgV"l
mypass123pcMing工作室K\&qSMX%n'd~C y
AdministratorpcMing工作室^rC2?&@ni#V q
Guest
/GmU8C^}*~Q/M0adminpcMing工作室2^;A.X\0[ m
RootpcMing工作室N'I:vR:bb*\
pcMing工作室O`u/P4y
pcMing工作室:n&Q1FhV\|L^
清除步骤
.wGA
x1upo2]d0==========
Y ~S4u4Ai]u0
e4eJ*Q%J,y h4L `.J#|01.断开网络
*lE9KT.Pj0pcMing工作室j
VPR(Oxl
2.结束病毒进程
&^&X c9y3u/u0%System%\drivers\spoclsv.exe
x}!BY~L3Rg0
\.D*XKUf o6^l x!y03.删除病毒文件：pcMing工作室gHy[E1]
%System%\drivers\spoclsv.exe
6DC4XS9^8U7K0
,b:U__\V9cO$Z+G04.右键点击分区盘符，点击右键菜单中的“打开”进入分区根目录，删除根目录下的文件：pcMing工作室ub~z#nt}#C,_
X:\setup.exepcMing工作室RP6LcG:iO]
\P
X:\autorun.inf
U#O;VC[Wt/DQ l0pcMing工作室1d&PeI!]d6H3cH
5.删除病毒创建的启动项：pcMing工作室{g^+P6s~y%j

v3N
k @7s8[0
$GO+RD4rV.T(G06.修改注册表设置，恢复“显示所有文件和文件夹”选项功能：
xz'jcrz V:_#}Z0pcMing工作室q!o}%R s?

3gxsa4ovE07.修复或重新安装反病毒软件
#`ymC/])j&Y0pcMing工作室7]P'A;i$HyB9F
8.使用反病毒软件或专杀工具进行全盘扫描，清除恢复被感染的exe文件