pcMing工作室JO
p jIr;r8u威金（LOGO_1）过后的新威胁，熊猫烧香图标病毒的详细分析pcMing工作室F}1|9c0keX
2006-12-01 20:44
#p;Zie B"b&l)Q
Wb0pw#A?~(g0在围巾病毒的威胁渐渐归于平息的时候，熊猫烧香图标病毒又开始了对我们的新一轮疯狂攻击，这个病毒和围巾一样，也是感染所有的exe文件，目前这个病毒也进入了急速的变种期，在我手头上最新的变种样本的测试中，截至到11月22号，金山和瑞星均不能查杀，国内厂商在针对这个病毒的反应上还是有点慢，希望大家小心。pcMing工作室;d?1w@&k~~ ^N
.fE2t+m;Q9Y+Q,u0下面让我们看看这个病毒的详细分析
HR)yvS0pcMing工作室%V:oG7L
_作者:killvirus
b([9o\5g q xM7`w0pcMing工作室#L1B%F*I.GM/H4[gsetup.exepcMing工作室 y,F8D/^#S
File size:22886 bytes
"@3d0T'So
[-ix0SHA-160: 5D3222D8AB6FC11F899EFF32C2C8D3CD50CBD755pcMing工作室3^0p%k5U2dU-z-m {
MD5 : 9749216A37D57CF4B2E528C027252062pcMing工作室z4O E~J1O.s
CRC-32 : DE81BD8A
2S-q,L&Qq9|"C0加壳方式：UPackpcMing工作室;e Vo-G$N s I
编写语言：Borland Delphi 6.0 - 7.0pcMing工作室1Q1Ny6nMn6j6Lv
感染方式：恶意网页传播，其它木马下载，局域网传播，感染移动存储设备pcMing工作室8l$j#f _\,?k'G
k*N9F&j6X0尝试关闭窗口
V ?!`7d(T1dq&o&g0QQKavpcMing工作室[!H:oO-QU"uIX
QQAVpcMing工作室8n4odH2qqE%s m"l!w
天网防火墙进程
f1R#j/O.b9o*U4Fi0VirusScanpcMing工作室\^ ]? O ? z
网镖杀毒pcMing工作室1U i6sx$d5z2F
毒霸pcMing工作室
zF{-@H[Z
]
瑞星pcMing工作室 M i7wo U6t#R
江民pcMing工作室*k$g+V v+V
黄山IEpcMing工作室CBc$D}n0C
超级兔子
0y;ki/M8loy0优化大师pcMing工作室+N&R\o%H.{
木马克星pcMing工作室:LC@1TM2Y,C
木马清道夫
'o8[ O0VZ
\%L2^0木馬清道夫
&W3i#v%DO0QQ病毒注册表编辑器pcMing工作室
O;RAw1T k
系统配置实用程序pcMing工作室'` o^;b'L'[t*w
卡巴斯基反病毒pcMing工作室4J4f7c2J*b6_
Symantec AntiViruspcMing工作室?-x |
Wp ^ ]
Duba
k.H&i,C G+OjB5fa'Bu0Windows 任务管理器
Ih `[~;j*V4K7E0esteem procs
X7w+_,E I i ~3K0绿鹰PC
*ri4`8X;c \"V0密码防盗pcMing工作室:rk6r"~H B!j-S"~0B
噬菌体pcMing工作室 [6u8v k7w @tYyR+H1H
木马辅助查找器
g HR;U'B(B c/} u.cY0System Safety MonitorpcMing工作室}pJ"l L
Wrapped gift KillerpcMing工作室 \3kl @ E [3g
Winsock Expert
}J,?
S*wdw |0游戏木马检测大师pcMing工作室r1c6E
a2v M&O,s.z
小沈Q盗杀手
^i!F1oP%}0pjf(ustc)
'{Y7n2v#|$} F9`}0IceSword
K [o&\7`
i&D0`D5Dxm0尝试关闭进程
j;u }a!e j
S8gS0Mcshield.exe
1E7x'o"[(d#U yy(s0VsTskMgr.exepcMing工作室I#}J'Am|Z!y,w U
naPrdMgr.exe
%t{p6R&V }s c0UpdaterUI.exepcMing工作室/y8L q$s3z[2EeQ
TBMon.exepcMing工作室 `:VL n\i3nB1J6| B
scan32.exepcMing工作室)@+D a qIm;|(tT%r
Ravmond.exepcMing工作室n;H9O P|M
[-{j
CCenter.exe
0|1waB4X ZD,UT0RavTask.exe
(QM @w g0Rav.exe
Ib!K i)y0Ravmon.exe
%x;p0]3V_`0RavmonD.exepcMing工作室v:J$C6dq wRv%F7V
RavStub.exe
X&oWZBp3]K S1Q0KVXP.kxppcMing工作室,L?%CF4Mr
KvMonXP.kxppcMing工作室[R0M0u?fzW
KVCenter.kxp
A#knd0pb'qi(v5V }0KVSrvXP.exepcMing工作室PS
t E h Q
KRegEx.exe
.e-R GsiS:E0UIHost.exepcMing工作室r+T.a;t!m(f `Y5G5v
TrojDie.kxppcMing工作室 k{U b knhK
FrogAgent.exe
[ z'Zoxq6o[ z0Logo1_.exe
4vRU3l$iBJ0Logo_1.exe
%MzW8Q5`8s b0Rundl132.exepcMing工作室"cYS"M#XO.b|
pcMing工作室ML
S@,K9[,s,J `H删除以下启动项pcMing工作室oSl:T
A*rI+V'k
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RavTaskpcMing工作室a*j&D-^ Hv1x ? \
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KvMonXP
0FP'[jFY?6g V0SOFTWARE\Microsoft\Windows\CurrentVersion\Run\kav
q4a r
h8a[ |/F0SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KAVPersonal50pcMing工作室)F&N+~&z%`
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\McAfeeUpdaterUIpcMing工作室
D
d$ZmU+E8j l\c
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Network Associates Error ReportingpcMing工作室6{8q7w N*f pK-b/I P-e
[^.O+V3B0ServiceSOFTWARE\Microsoft\Windows\CurrentVersion\Run\ShStatEXEpcMing工作室9k$H)W
n _Z8vN ]5Qv0D
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\YLive.exe
S7u I;oa(f_Kt0SOFTWARE\Microsoft\Windows\CurrentVersion\Run\yassistse
Ff ~F\3?0pcMing工作室"A:N;D oj+I禁用以下服务pcMing工作室s7\5s6~-Lf&G
kavsvc
4I3w+? HfQ0AVPpcMing工作室n D f Z0X1m
AVPkavsvcpcMing工作室F r {2Eq3U2|m0[
McAfeeFramework
9P n9x}2U/A.L0McShield
*Hp%Y7~ Sy.tt"kh0McTaskManager
[TX)X a*xpi[
~0McAfeeFramework McShield
%G fc6Q*h.h:ALwm0McTaskManager
xh6J N0k G-Xc0navapsvc
pn,J\:b;R:Gh?!xW0KVWSCpcMing工作室#f
j%c c G*FI#u
KVSrvXP
V+E([g3R1a0KVWSCpcMing工作室 h:m1x5P!Yrj
nQ
KVSrvXP
7q8N g)z;Q3I |0Schedule
N*{{Fu/P0sharedaccesspcMing工作室(| F{9gi*~ x9l m
RsCCenterpcMing工作室 i#j?#_"BuB
RsRavMon
LBA-Mj*ZSd2z0RsCCenter
1bl8z uBV%JqYU0RsRavMon
'm} z"@/_M]U0wscsvcpcMing工作室
F},Mv bf"X p
KPfwSvcpcMing工作室%nx"F P@+T%[s
SNDSrvcpcMing工作室:P G0r uB$c ril
ccProxy
`|9vQZ^!G%w
D r[0ccEvtMgrpcMing工作室Ev&u#s P1T @ S
ccSetMgrpcMing工作室3?.Q)u+q2aj2} B;|#]2Q
SPBBCSvcpcMing工作室;SEdltQ
Symantec
6f2r1b.x&_Z6c1J#U5Q0Core LC
+ka!j4E:R:|0NPFMntorpcMing工作室:|PMC_F'a2p x
MskServicepcMing工作室 U0FG8t/M4C:f
FireSvc
h%~i1a.Y,Kz3?`!r
~3o0pcMing工作室^ ] u*i;@WylEo搜索感染除以下目录外的所有.EXE/.SCR/.PIF/.COM文件，并记有标记pcMing工作室[ U*pb zt?
l-r"D?
WINDOWS
5C5O;BF!ZfE0WinntpcMing工作室4zQN^*V3T#bO
System Volume InformationpcMing工作室 j:nk
Dg7I
Recycled
X$Y[]0g)P0Windows NTpcMing工作室Xh0i/](cQ,|%U
Windows UpdatepcMing工作室(G
A&UuS{A M4X
Windows Media Player
!vJ T o;W0Outlook ExpresspcMing工作室$~2| j[8@ Ds*[1o
Internet ExplorerpcMing工作室(m(m8XBB
NetMeeting
N qa)?T0Common Files
+j5BO @Iw"m_ d2F0ComPluspcMing工作室TVG}`^
ApplicationspcMing工作室#u+^F.L2rT3A9DI m
Messenger
-rV `*J-U&_i]'Q
b0InstallShield Installation InformationpcMing工作室x v+@ `6S+Y/M'h
MSNpcMing工作室1Q9iJ%p6@:s\kd1n*E/a
Microsoft FrontpagepcMing工作室!nt6o l4Jq
Movie Maker
fV6Z`-F Ap r$y1h,f1}0MSN Gamin Zone
"b+xIv%zS?0pcMing工作室w
by8Zl K)P5_(g删除.GHO文件 <-------注意这点pcMing工作室 ^?oCn
!Al$j Ilu0添加以下启动位置
5F
t*Sa0xs&b|0\Documents and Settings\All Users\Start Menu\Programs\Startup\Documents and Settings\All Users\「开始」菜单\程序\启动\WINDOWS\Start Menu\Programs\Startup\WINNT\Profiles\All Users\Start Menu\Programs\Startup\pcMing工作室_t y f"K S^S+E _G
pcMing工作室;\0d\-C
l,W)_监视记录QQ和访问局域网文件记录：c:\test.txt，试图QQ消息传送pcMing工作室x1X"X,C4Qm
6gO#vbL A6?0试图用以下口令访问感染局域网文件（GameSetup.exe）pcMing工作室 D_t0s7{/D
1234
.G
K I/H,Xk#Nh7P ~0password
2_.hF [s06969
9d2CXr$] d R-@0harley
+Bw6He8d6j9r.Y'c5u0123456
&y
l$_7hA"OF:wC0golfpcMing工作室:L x5H#`5g8s1Ud3t
pussypcMing工作室3k Y3z ]C _*G
mustang
L
]4c&~d Q7|01111
9n{ k&z~G/m \%iQ oq0shadow
2` E)T@0D1P G8d;Z-}01313pcMing工作室qe8e/a o7d&ju
fishpcMing工作室0O u4}yMq cm
5150
{ h3a m R*p {0H07777
3GuN;d
_^0qwerty
4n#FaCP ya0baseballpcMing工作室2M~_7Bq
2112pcMing工作室
]0X5Er,~z j:R"M
letmein
AG@!eOx#zmB012345678
u n'{l;TXK012345pcMing工作室*CwL UQ1AO GtZf
ccc
1N0j2i_}&Vkzs%?f0c0adminpcMing工作室H \8V6@ H
J3U$t7x
5201314
+f(wi3X-~0qq520pcMing工作室p0{)oqNa;I4Z
1
Z!ff.|R,r%q @012
P zu8J!_7L/?s-a0123
c-I N,^ x*eU&Q01234567pcMing工作室s;MU)c V
123456789
x$d/P?0G;B:k"Aei{%i0654321
-s2C1y @;_#FS054321pcMing工作室$O3f6E }9fW:N J3d ]
111
o qx1S5U/C0000000
%V+xI[~0o EJ$i o
p0abcpcMing工作室?*QrP s-q
pw
b&[W r4DS.Z#m011111111
DR:^
oU088888888pcMing工作室c+y @r H k"w
pass
8h7|r3[X0k?dO0passwdpcMing工作室 U?^ _H j F1XVHC+[C$n
database
jC9V0L$S2Z0abcdpcMing工作室2ON6?*O(e1Fd)dx${
abc123pcMing工作室
p+?-uG$^7qy&X/|$A([&{
sybase
&L qtB^ s0123qwe
R,D Iv:y)w0server
;P ])n6O!i0computer
_9uup'v,z/c0520pcMing工作室*~kq-a}@S3k"B+U { b
super
lv:^A n,x0123asdpcMing工作室$P0hu&U5n:n4uN
0
Ktv8Lt vr Y.l0ihavenopasspcMing工作室(jF1`Y.L
godblessyoupcMing工作室6@:|Z:Am w(GtQ F
enable
Pa$n$YYf0xp
IhR6sWGmz1V02002
2yn7xS N
_&@ Y02003pcMing工作室 IN2{r aH9I h
2600pcMing工作室 e d.n-Q.o
q$N2N \
alpha
"t1Z1{
N*wi6q:Mnw0110
j,Z5J;t ~0111111
[B-Gs"f$s/p\&^.o;o0121212
t!J^
r)|([ n2a[0123123pcMing工作室p-Y#l8g6Q(rr2]3k
1234qwerpcMing工作室.on Dq0c J
123abcpcMing工作室8oV,i6VXt0B
007
b[p!V q \3Ko \ z k0aaaapcMing工作室$d6t.X#FwY|+J
patrick
{.DIhE9b*|b6@!i0pat
)g6cr{G0administrator
-vc.i?
Q]-k0root
ds-z fHJ
v0***
;`\+xo(I8l*\
{Z0god
~,Ev.b
w;i0foobar
R ?8qsef1~
B!p0secrettest
"t wJP-S/s5[b0test123pcMing工作室|AA4@O9rKB
temppcMing工作室4[3Vo*@d M&H
temp123
4e){7P9l{0winpcMing工作室jF J%E'r#G:jm0P(s
pc
{ ^6b4J E A u0asdf
r-d;aS(d,}5e C0pwdpcMing工作室Q^'MC.d \ w)I
qwer yxcvpcMing工作室DHn Dz'O.m
zxcvpcMing工作室 r'a!x7|1M)C#F ^1K}
homepcMing工作室3hd5y:x%HD A9xm#x
xxx
py3Xe:_aJ0ownerpcMing工作室 z*] \?!O+n(vZ&S K
loginpcMing工作室 ?
U7}*mPg;]
LoginpcMing工作室.W5]"A H&l K7^
pw123
W1e$I%Xx+u?L0love
` W tpn
R+X0mypc
p%Q7bD2p0mypc123
)n
nw T*h*t4e'H0admin123pcMing工作室G bb
i(S1A
mypass
*y D X i%Tf
V0mypass123pcMing工作室 K L }a}/ec(x
901100pcMing工作室Q h1`Wt`
Administrator
r t%g0Jip1KG0GuestpcMing工作室-l g$[U5\-ao:X
adminpcMing工作室$x{*o8Ob0?#S
wc
Gz
RootpcMing工作室k-{4]]F }/m `
pcMing工作室(pT0K
|"E$T所有根目录及移动存储生成
7\t~7K*V:U8BP%L0X:\setup.exepcMing工作室EQ(A
czh3O*h
X:\autorun.infpcMing工作室m t
Zjn Y
[AutoRun]
Dg f @ ^b0OPEN=setup.exepcMing工作室 ?9jS z!X
I:F*R}1@
shellexecute=setup.exepcMing工作室*S?F2veds4Ga%G
shell\Auto\command=setup.exepcMing工作室
Wgu&oU6D(KM(|'@0u
pcMing工作室-t
k
u&q,o-} |删除隐藏共享pcMing工作室7t/S-^g0M6s
b `&h
cmd.exe /c net share $ /del /ypcMing工作室8o7zWCas9\ h8A
cmd.exe /c net share admin$ /del /ypcMing工作室I
n
N ` x4B:B?],C)W,B
cmd.exe /c net share IPC$ /del /y
1Y'N1|X:@Vs0pcMing工作室/iH&P#r"C2N7Wm j创建启动项：pcMing工作室 g dtJ3K
Software\Microsoft\Windows\CurrentVersion\Run
?4C+D~l3D:vS0svcshare=指向\%system32%\drivers\spoclsv.exepcMing工作室 w7y2uF D;[?5F
禁用文件夹隐藏选项
J d huBA6U(e+p,R0SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue
5R.~#{.[a(i3X4}7I0XN s:r:R;U| }9R0海色最新测试过结果：病毒22,886字节，头部写入病毒代码22,838字节，并在最尾部添加.WhBoy原文件名.exe.原文件字节数
]K B e]a:V b/E0_D&i4[-PpgU~8Kg0
pcMing工作室K3o#R3l3rv
