网站能找到做网站的人/常用的网站推广方法

编程，语言，java，web，程序，软件，C++，C#，互联网，网络，安全，电脑，病毒

熊猫病毒分析及解决方案

C变种版本

【工 具】:Olydbg1.1、IDA5.0

【任 务】:病毒分析以及解决方案

【操作平台】:Windows2003server

【作 者】:LoveBoom[DFCG][FCG][CUG]

【链 接】:N/A

【简要说明】:"离开党和人民一年"、荒废了一年，2006年可所谓沉迷于游戏从帝国到星际，

总是追求着自己所谓的目标，而今回头看却发现不但没有达到自己的目标，反而是离生活越

走越远了。现在动手写写也觉得自己穷词:­(。2006过了，不想自己的2007也是这样碌碌无

为的过着。

关于这个病毒，我想很多朋友都知道，这个病毒在2007年初闹的比较凶，很多朋友曾

经中过这病毒。这次我给大家带来的文章就是讲讲这个病毒。看看这病毒到底是怎么回事，

我们应该怎么去处理这病毒。

【病毒分析】:

概要:这病毒我最早在10月底时接触，那时这病毒并没有现在这样流行(也许是病毒刚

出来吧)。曾经几个月的发展，前几天从同事那拿了几个新变种看了会，发现病毒和早期的

版本相差比较大。根据病毒的差异，我自己将病毒分为:ABCD 4个变种。各变种的不同处

如下:

A 病毒将自身复制为%System32%\FuckJacks.exe,然后感染除特殊文件夹之外的文件夹中的可

执行文件。

B 病毒将自身复制为%System32%\Drivers\spoclsv.exe,感染时在c盘根目录下生成感染标记文

件。

C 病毒不再感染用户系统中的可执行文件，而是感染用户系统中的脚本病毒(这样的危害更

大);在每个感染后的文件夹中写下感染标记文件。

D 感染用户可执行文件时不再使用A和B版本中的直接捆绑感染。用户中毒后可执行程序的

图标不改变(a和b版本感染后可执行文件的图标都变成熊猫烧香)。

今天我分析的就是C版本(下次有空我将整理出A版本的分析资料),小版本可能会有所不同，

因此如果你发现你机器上的和我所述的相似但不完全一样也是正常的。

中毒表象:以下几个特征为中毒的表现:

１、在系统中的每分区根目录下存在setup.exe和autorun.inf文件(A和B盘不感染)。

２、无法手工修改"文件夹选项"将隐藏的文件显示出来。

３、在每个感染后的文件夹中可见Desktop_.ini长度为12字节的隐藏文件(这个和Viking病毒一样)。

４、机器上的所有脚本文件(*.htm;*.html;*.asp;*.php;*.js;*.aspx)中存在以下代码:

'

５、中毒后机器上的常见反病毒软件无法开启和正常使用。

６、无法正常使用任务管理器、icesword 之类的系统检测工具。

７、进程中可以找到伪系统正常进程的spoclsv.exe病毒进程。

８、系统自启动项中有病毒添加的注册表自启动项。

９、无故的向外发包、连接局域网中的其它机器。

一 Author:LoveBoom

EMail:Loveboom@163.com

URL:www.L

熊猫病毒分析及解决方案

C变种版本

病毒流程:

因为这病毒的流程比较复杂，所以我总结了一下，做了个流程图以方便以后细分析，流

程如下:

初始化

复制/释放病毒体

感染文件

反杀软件/下载病毒

结束