差点说忘记说3Q

谢谢民工同学

还有谢谢3k钱（虽然不可能看到）

还有谢谢Mr.V.，

还有谢谢被同学们拖来的信安的那群

当然要谢谢所有的同学，Jessica，Michelle，Carrie

还有北京的还有复旦的那些不认识的谁

还有哪里的，总之记不清楚了

反正所有给我意见和建议的同学，不管有没有可能看到，谢谢

一样在谢谢了还谢谢帮我修车的张亮同学

（显然看不到而且比较莫名，话说自行车的问题比电脑的问题更加让我无措）

好了，谢完了

其实我只是要记一笔，最近没有写日志了话说会忘记的

当然还有严肃鄙视质疑我人品的某人……

这支就是最近最招人恨的熊猫…………

一开始我看着也挺讨厌的……

下面画外音我就不说了

熊猫烧香

最近电脑中毒啦
就是这个名字搞笑效果强烈的毒
其实偷偷说不要被阿拉同学们听到要被抽的
阿拉觉得这个病毒还是很幽默的……
不过其实很好杀……
中毒的时候蛮混乱的就是……因为毛病很多的……据说集合了很多种病毒的总之
好吧，用windows的筒子们当心一点
中毒了之后要多下几个专杀……
可能由于没有联网所以没有来得及变异的关系
还是满好杀的发现
但是不知道我杀毒的时候什么步骤做错了还是怎么的
被感染过的程序都没有恢复都要重装了……
不过话说也只有暴风影音和office的ppt而已
我是没有文化的人
而且话说暴风影音不能执行了可是解码的数据还都在
所以那些乱七八糟格式的文件还是可以用wmp看得……
就是不那么方便
其实我和各种病毒都满有缘的
我看出来了

spoclsv.exe(熊猫烧香变种)解决方案
 
档案编号：CISRT2006081
病毒名称：Worm.Win32.Delf.bf（Kaspersky）
病毒别名：Worm.Nimaya.d（瑞星）
　　　　　 Win32.Trojan.QQRobber.nw.22835（毒霸）
病毒大小：22,886 字节
加壳方式：UPack
样本MD5：9749216a37d57cf4b2e528c027252062
样本SHA1：5d3222d8ab6fc11f899eff32c2c8d3cd50cbd755
发现时间：2006.11
更新时间：2006.11
关联病毒：
传播方式：通过恶意网页传播，其它木马下载，可通过局域网、移动存储设备等（U盘老危险的，我就是这样中招的）传播

技术分析
==========

又是“熊猫烧香”FuckJacks.exe的变种，和之前的变种一样使用白底熊猫烧香图标，病毒运行后复制自身到系统目录下：
%System%\drivers\spoclsv.exe

创建启动项：

 
CODE:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"svcshare"="%System%\drivers\spoclsv.exe"

修改注册表信息干扰“显示所有文件和文件夹”设置：

 
CODE:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"Checkedvalue"=dword:00000000

在各分区根目录生成副本：
X:\setup.exe
X:\autorun.inf

autorun.inf内容：

 
CODE:
[AutoRun]
OPEN=setup.exe
shellexecute=setup.exe
shell\Auto\command=setup.exe

尝试关闭下列窗口：
QQKav
QQAV
VirusScan
Symantec AntiVirus
Duba
Windows
esteem procs
System Safety Monitor
Wrapped gift Killer
Winsock Expert
msctls_statusbar32
pjf(ustc)
IceSword

结束一些对头的进程：
Mcshield.exe
VsTskMgr.exe
naPrdMgr.exe
UpdaterUI.exe
TBMon.exe
scan32.exe
Ravmond.exe
CCenter.exe
RavTask.exe
Rav.exe
Ravmon.exe
RavmonD.exe
RavStub.exe
KVXP.kxp
KvMonXP.kxp
KVCenter.kxp
KVSrvXP.exe
KRegEx.exe
UIHost.exe
TrojDie.kxp
FrogAgent.exe
Logo1_.exe
Logo_1.exe
Rundl132.exe

禁用一系列服务：
Schedule
sharedaccess
RsCCenter
RsRavMon
RsCCenter
RsRavMon
KVWSC
KVSrvXP
kavsvc
AVP
McAfeeFramework
McShield
McTaskManager
navapsvc
wscsvc
KPfwSvc
SNDSrvc
ccProxy
ccEvtMgr
ccSetMgr
SPBBCSvc
Symantec Core LC
NPFMntor
MskService
FireSvc

删除若干安全软件启动项信息：
RavTask
KvMonXP
kav
KAVPersonal50
McAfeeUpdaterUI
Network Associates Error Reporting Service
ShStatEXE
YLive.exe
yassistse

使用net share命令删除管理共享：

 
CODE:
net share X$ /del /y
net share admin$ /del /y
net share IPC$ /del /y

遍历目录，感染除以下系统目录外其它目录中的exe、com、scr、pif文件：
X:\WINDOWS
X:\Winnt
X:\System Volume Information
X:\Recycled
%ProgramFiles%\Windows NT
%ProgramFiles%\WindowsUpdate
%ProgramFiles%\Windows Media Player
%ProgramFiles%\Outlook Express
%ProgramFiles%\Internet Explorer
%ProgramFiles%\NetMeeting
%ProgramFiles%\Common Files
%ProgramFiles%\ComPlus Applications
%ProgramFiles%\Messenger
%ProgramFiles%\InstallShield Installation Information
%ProgramFiles%\MSN
%ProgramFiles%\Microsoft Frontpage
%ProgramFiles%\Movie Maker
%ProgramFiles%\MSN Gamin Zone

将自身捆绑在被感染文件前端，并在尾部添加标记信息：

QUOTE:
.WhBoy{原文件名}.exe.{原文件大小}.

与之前变种不同的是，这个病毒体虽然是22886字节，但是捆绑在文件前段的只有22838字节，被感染文件运行后会出错，而不会像之前变种那样释放出{原文件名}.exe的原始正常文件。

另外还发现病毒会覆盖少量exe，删除.gho文件。

病毒还尝试使用弱密码访问局域网内其它计算机：
password
harley
golf
pussy
mustang
shadow
fish
qwerty
baseball
letmein
ccc
admin
abc
pass
passwd
database
abcd
abc123
sybase
123qwe
server
computer
super
123asd
ihavenopass
godblessyou
enable
alpha
1234qwer
123abc
aaa
patrick
pat
administrator
root
sex
god
foobar
secret
test
test123
temp
temp123
win
asdf
pwd
qwer
yxcv
zxcv
home
xxx
owner
login
Login
love
mypc
mypc123
admin123
mypass
mypass123
Administrator
Guest
admin
Root

清除步骤
==========

1. 断开网络

2. 结束病毒进程
%System%\drivers\spoclsv.exe

3. 删除病毒文件：
%System%\drivers\spoclsv.exe

4. 右键点击分区盘符，点击右键菜单中的“打开”进入分区根目录，删除根目录下的文件：
X:\setup.exe
X:\autorun.inf

5. 删除病毒创建的启动项：

 
CODE:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"svcshare"="%System%\drivers\spoclsv.exe"

6. 修改注册表设置，恢复“显示所有文件和文件夹”选项功能：

 
CODE:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"Checkedvalue"=dword:00000001

7. 修复或重新安装反病毒软件

8. 使用反病毒软件或专杀工具进行全盘扫描，清除恢复被感染的exe文件