熊猫烧香(武汉男生)病毒分析(1)
这是一个感染型的蠕虫病毒，它能感染系统中exe，com，pif，src，html，asp等文件，
它还能中止大量的反病毒软件进程
1：拷贝文件
病毒运行后，会把自己拷贝到
C：\\WINDOWS\\System32\\Drivers\\spoclsv.exe
2：添加注册表自启动
病毒会添加自启动项
HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Runsvcshare -> C：\\WINDOWS\\System32\\Drivers\\spoclsv.exe
3：病毒行为
a：每隔1秒
寻找桌面窗口，并关闭窗口标题中含有以下字符的程序
QQKavQQAV防火墙进程VirusScan网镖杀毒毒霸瑞星江民黄山IE超级兔子优化大师木马克星木马清道夫QQ病毒注册表编辑器系统配置实用程序卡巴斯基反病毒Symantec AntiVirusDubaesteem proces绿鹰PC密码防盗噬菌体木马辅助查找器System Safety MonitorWrapped gift KillerWinsock Expert游戏木马检测大师msctls_statusbar32pjf(ustc)IceSword并使用的键盘映射的方法关闭安全软件IceSword
添加注册表使自己自启动
HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Runsvcshare -> C：\\WINDOWS\\System32\\Drivers\\spoclsv.exe
熊猫烧香(武汉男生)病毒分析(2)
并中止系统中以下的进程：
Mcshield.exeVsTskMgr.exenaPrdMgr.exeUpdaterUI.exeTBMon.exescan32.exeRavmond.exeCCenter.exeRavTask.exeRav.exeRavmon.exeRavmonD.exeRavStub.exeKVXP.kxpkvMonXP.kxpKVCenter.kxpKVSrvXP.exeKRegEx.exeUIHost.exeTrojDie.kxpFrogAgent.exeLogo1_.exeLogo_1.exeRundl132.exe
b：每隔18秒
点击病毒作者指定的网页，并用命令行检查系统中是否存在共享
共存在的话就运行net share命令关闭admin$共享
c：每隔10秒
下载病毒作者指定的文件，并用命令行检查系统中是否存在共享
共存在的话就运行net share命令关闭admin$共享
d：每隔6秒
删除安全软件在注册表中的键值
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run
RavTaskKvMonXPkavKAVPersonal50McAfeeUpdaterUINetwork Associates Error Reporting ServiceShStartEXEYLive。exeyassistse
熊猫烧香(武汉男生)病毒分析(3)
并修改以下值不显示隐藏文件
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced\\Folder\\Hidden\\SHOWALLCheckedValue -> 0x00
删除以下服务：
navapsvcwscsvcKPfwSvcSNDSrvcccProxyccEvtMgrccSetMgrSPBBCSvcSymantec Core LCNPFMntorMskServiceFireSvc
e：感染文件
病毒会感染扩展名为exe，pif，com，src的文件，把自己附加到文件的头部
并在扩展名为htm，html， asp，php，jsp，aspx的文件中添加一网址，
用户一但打开了该文件，IE就会不断的在后台点击写入的网址，达到
增加点击量的目的，但病毒不会感染以下文件夹名中的文件：
WINDOWWinntSystem Volume InformationRecycledWindows NTWindowsUpdateWindows Media PlayerOutlook ExpressInternet ExplorerNetMeetingCommon FilesComPlus ApplicationsMessengerInstallShield Installation InformationMSNMicrosoft FrontpageMovie MakerMSN Gamin Zone
g：删除文件
病毒会删除扩展名为gho的文件，该文件是一系统备份工具GHOST的备份文件
使用户的系统备份文件丢失。
