熊猫烧香病毒的分析报告

第一次写博客，这个病毒挺经典的，拿来上手。

一、病毒信息
病毒名称：熊猫烧香
MD5： 3520d3565273e41c9eeb04675d05dca8
SHA-1： bb1d8fa7ee4e59844c1feb7b27a73f9b47d36a0a
SHA-256：e7d2753d55876f89967727e909d7bcbdf36653a8be2c5f9f57789fec4d4284ed
文件类型：Win32 EXE
文件大小：61952 bytes
主要行为：1.自我复制到系统目录下并运行；
2.添加自启；
3.隐藏文件和文件夹；
4.关闭杀毒软件的服务和自启功能；
6.感染exe文件；
7.感染局域网中的主机；
8.关闭网络共享；
9.下载远程数据；
10.定时执行恶意行为。

二、分析环境与工具
环境：Windows XP SP3 32位
工具：OllyDbg、IDA Pro、Process Monitor、PEView。

三、具体行为分析

病毒没有加壳，程序由delphi编写。

1.自我复制到C:\WINDOWS\system32\drivers目录下并以spcolsv.exe为名运行。

2.将病毒添加自启并设置“不显示隐藏的文件和文件夹”

3.停止杀毒软件的服务并关闭自启功能

4.在各个目录下创建了AUTOEXEC.BAT和Desktop.ini，autorun会自动运行setup.exe。

5.修改exe文件图标

6.通过139、445端口连接局域网中的主机。

7.运行命令关闭网络共享net share。

8.解密网址并下载。

9.在exe文件末尾添加WhBoy+原本文件名作为该文件被感染的标识。

10.设置计时器，分别每隔1秒、20分钟、10秒、6秒进行设置自启且不显示隐藏文件、解密网址、删除网络共享、终止杀毒软件服务。

四、解决方法
1.终止spcolsv.exe进程；
2.删除位于C:\Windows\System32\drivers的spcolsv.exe文件；
3.删除名为svshare的自启项；
4.将HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden
\SHOWALL\CheckedValue键值更改为1；
5.删除各个路径下的AUTOEXEC.BAT、Desktop.ini；
6.打开网络共享；
7.去除exe文件末尾的感染标识、换回原图标；
8.恢复杀软的运行。

熊猫烧香病毒的分析报告相关推荐

熊猫烧香病毒技术分析及应急解决方案
熊猫烧香病毒技术分析及应急解决方案 BY Delphiscn(http://blog.csdn.net/delphiscn)cnBlaster#hotmail.com 目录 A.简介 B.样本分析 C ...
【逆向】Delphi程序逆向之熊猫烧香病毒分析
1.前言本文主要用于记录Delphi程序逆向的一些方法和技巧,以及熊猫烧香病毒的分析过程. 2.分析技巧 2.1 使用IDR或DEDE加载Delphi程序,导出Map文件,将Map文件导入OD. 2 ...
病毒木马查杀实战第007篇：熊猫烧香之逆向分析（下）
前言这次我们会接着上一篇的内容继续对病毒进行分析.分析中会遇到一些不一样的情况,毕竟之前的代码我们只要按照流程顺序一步一步往下走,就能够弄清楚病毒的行为,但是在接下来的代码中,如果依旧如此,在某些分 ...
病毒木马查杀实战第003篇：熊猫烧香之行为分析
前言为了分析"熊猫烧香"病毒的行为,我这里使用的是Process Monitor v3.10版.关于这款软件的使用,可参考以下三篇文章: <文档翻译第001篇:Proces ...
[系统安全] 十四.熊猫烧香病毒IDA和OD逆向分析--病毒释放过程（下）
您可能之前看到过我写的类似文章,为什么还要重复撰写呢?只是想更好地帮助初学者了解病毒逆向分析和系统安全,更加成体系且不破坏之前的系列.因此,我重新开设了这个专栏,准备系统整理和深入学习系统安全.逆向分 ...
病毒木马查杀实战第005篇：熊猫烧香之逆向分析（上）
前言对病毒进行逆向分析,可以彻底弄清楚病毒的行为,从而采取更有效的针对手段.为了节省篇幅,在这里我不打算将"熊猫烧香"进行彻底的分析,只会讲解一些比较重要的部分,大家只要掌握了这 ...
熊猫烧香病毒背后，网络高手对决一个月
这是一波电脑病毒蔓延的狂潮.在两个多月的时间里,数百万电脑用户被卷将进去,那只憨态可掬.颔首敬香的"熊猫"除而不尽,成为人们噩梦般的记忆. 反病毒工程师们将它命名为"尼姆 ...
熊猫烧香病毒幕后黑手曝光网络世界高手对决一个月
这是一波电脑病毒蔓延的狂潮.在两个多月的时间里,数百万电脑用户被卷将进去,那只憨态可掬.颔首敬香的"熊猫"除而不尽,成为人们噩梦般的记忆. 反病毒工程师们将它命名为"尼姆 ...
熊猫烧香病毒攻击千家网站 (转贴)
核心提示:在两个多月的时间里,"熊猫烧香"病毒迅速化身数百种,不断入侵个人电脑,感染门户网站和近千家大型企业.病毒作者留名"武汉男孩",他对病毒的更新使反毒人士 ...
有人说是金山造了熊猫烧香病毒
在百度贴吧看到篇文章,作者臆断熊猫是金山出的,想到白天还跟珠海研发讨论过抓熊猫作者的事情.已经有了一些线索,可惜咱们这个国家对病毒制作者.传播者的打击力度...实在是差点儿意思. 原贴在[url]ht ...

熊猫烧香病毒的分析报告

熊猫烧香病毒的分析报告相关推荐

最新文章

热门文章