熊貓燒香病毒介紹
熊貓燒香其實是一種蠕蟲病毒的變種，而且是經(jīng)過多次變種而來的，下面由學(xué)習(xí)啦小編給你做出詳細(xì)的熊貓燒香病毒介紹!希望對你有幫助!歡迎回訪學(xué)習(xí)啦網(wǎng)站，謝謝!
熊貓燒香病毒介紹：
由于中毒電腦的可執(zhí)行文件會出現(xiàn)“熊貓燒香”圖案，所以也被稱為 “熊貓燒香”病毒。但原病毒只會對EXE圖標(biāo)進行替換，并不會對系統(tǒng)本身進行破壞。而大多數(shù)是中的病毒變種，用戶電腦中毒后可能會出現(xiàn)藍(lán)屏、頻繁重啟以及系統(tǒng)硬盤中數(shù)據(jù)文件被破壞等現(xiàn)象。同時，該病毒的某些變種可以通過局域網(wǎng)進行傳播，進而感染局域網(wǎng)內(nèi)所有計算機系統(tǒng)，最終導(dǎo)致企業(yè)局域網(wǎng)癱瘓，無法正常使用。[2]
3中毒癥狀編輯
除了通過網(wǎng)站帶毒感染用戶之外，此病毒還會在局域網(wǎng)中傳播，在極短時間之內(nèi)就 可以感染幾千臺計算機，嚴(yán)重時可以導(dǎo)致網(wǎng)絡(luò)癱瘓。中毒電腦上會出現(xiàn)“熊貓燒香”圖案，所以也被稱為“熊貓燒香”病毒。中毒電腦會出現(xiàn)藍(lán)屏、頻繁重啟以及系統(tǒng)硬盤中數(shù)據(jù)文件被破壞等現(xiàn)象。
4病毒危害編輯
熊貓燒香病毒會刪除擴展名為gho的文件，使用戶無法使用ghost軟件恢復(fù)操作系統(tǒng)。“熊貓燒香”感染系統(tǒng)的.exe .com. f.src .html.asp文件，添加病毒網(wǎng)址，導(dǎo)致用戶一打開這些網(wǎng)頁文件，IE就會自動連接到指定的病毒網(wǎng)址中下載病毒。在硬盤各個分區(qū)下生成文件autorun.inf和setup.exe，可以通過U盤和移動硬盤等方式進行傳播，并且利用Windows系統(tǒng)的自動播放功能來運行，搜索硬盤中的.exe可執(zhí)行文件并感染，感染后的文件圖標(biāo)變成“熊貓燒香”圖案。“熊貓燒香”還可以通過共享文件夾、用戶簡單密碼等多種方式進行傳播。該病毒會在中毒電腦中所有的網(wǎng)頁文件尾部添加病毒代碼。一些網(wǎng)站編輯人員的電腦如果被該病毒感染，上傳網(wǎng)頁到網(wǎng)站后，就會導(dǎo)致用戶瀏覽這些網(wǎng)站時也被病毒感染。據(jù)悉，多家著名網(wǎng)站已經(jīng)遭到此類攻擊，而相繼被植入病毒。由于這些網(wǎng)站的瀏覽量非常大，致使“熊貓燒香”病毒的感染范圍非常廣，中毒企業(yè)和政府機構(gòu)已經(jīng)超過千家，其中不乏金融、稅務(wù)、能源等關(guān)系到國計民生的重要單位。注：江蘇等地區(qū)成為“熊貓燒香”重災(zāi)區(qū)。
5傳播方法編輯
金山分析：這是一個感染型的蠕蟲病毒，它能感染系統(tǒng)中exe,com,pif,src,html,asp等文件，它還能中止大量的反病毒軟件進程
1拷貝文件
病毒運行后，會把自己拷貝到
C:\WINDOWS\System32\Drivers\spoclsv.exe
2添加注冊表自啟動
病毒會添加自啟動項
svcshare -> C:\WINDOWS\System32\Drivers\spoclsv.exe
3病毒行為
a：每隔1秒
尋找桌面窗口，并關(guān)閉窗口標(biāo)題中含有以下字符的程序
QQKav
QQAV
防火墻
進程
VirusScan
網(wǎng)鏢
殺毒
毒霸
瑞星
江民
黃山IE
超級兔子
優(yōu)化大師
木馬克星
木馬清道夫
QQ病毒
注冊表編輯器
系統(tǒng)配置實用程序
卡巴斯基反病毒
Symantec AntiVirus
Duba
熊貓燒香esteem proces
綠鷹PC
密碼防盜
噬菌體
木馬輔助查找器
System Safety Monitor
Wrapped gift Killer
Winsock Expert
游戲木馬檢測大師
msctls_statusbar32
pjf(ustc)
IceSword
并使用的鍵盤映射的方法關(guān)閉安全軟件IceSword
添加注冊表使自己自啟動
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
svcshare -> C:\WINDOWS\System32\Drivers\spoclsv.exe
并中止系統(tǒng)中以下的進程：
Mcshield.exe
VsTskMgr.exe
naPrdMgr.exe
UpdaterUI.exe
TBMon.exe
scan32.exe
Ravmond.exe
CCenter.exe
RavTask.exe
Rav.exe
Ravmon.exe
RavmonD.exe
RavStub.exe
熊貓燒香KVXP.kxp
kvMonXP.kxp
KVCenter.kxp
KVSrvXP.exe
KRegEx.exe
UIHost.exe
TrojDie.kxp
FrogAgent.exe
Logo1_.exe
Logo_1.exe
Rundl132.exe
b：每隔18秒
點擊病毒作者指定的網(wǎng)頁，并用命令行檢查系統(tǒng)中是否存在共享
共享存在的話就運行net share命令關(guān)閉admin$共享
c：每隔10秒
下載病毒作者指定的文件，并用命令行檢查系統(tǒng)中是否存在共享
共享存在的話就運行net share命令關(guān)閉admin$共享
d：每隔6秒
刪除安全軟件在注冊表中的鍵值
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
RavTask
KvMonXP
kav
KAVPersonal50
McAfeeUpdaterUI
Network Associates Error Reporting Service
ShStartEXE
YLive.exe
yassistse
并修改以下值不顯示隱藏文件
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
CheckedValue -> 0x00
刪除以下服務(wù)：
navapsvc
wscsvc
KPfwSvc
SNDSrvc
ccProxy
ccEvtMgr
ccSetMgr
SPBBCSvc
Symantec Core LC
NPFMntor
MskService
FireSvc
e：感染文件
病毒會感染擴展名為exe,pif,com,src的文件，把自己附加到文件的頭部
并在擴展名為htm,html,asp,php,jsp,aspx的文件中添加一網(wǎng)址，
用戶一但打開了該文件，IE就會不斷的在后臺點擊寫入的網(wǎng)址，達(dá)到
增加點擊量的目的，但病毒不會感染以下文件夾名中的文件：
熊貓燒香WINDOW
Winnt
System Volume Information
Recycled
Windows NT
WindowsUpdate
Windows Media Player
Outlook Express
Internet Explorer
NetMeeting
Common Files
ComPlus Applications
Messenger
InstallShield Installation Information
MSN
Microsoft Frontpage
Movie Maker
MSN Gamin Zone
g：刪除文件
病毒會刪除擴展名為gho的文件，該文件是一系統(tǒng)備份工具GHOST的備份文件
使用戶的系統(tǒng)備份文件丟失.
瑞星病毒分析報告：“Nimaya(熊貓燒香)”
這是一個傳染型的DownLoad 使用Delphi編寫
看過“熊貓燒香病毒介紹 ”人還看了：
熊貓燒香病毒介紹
