熊猫烧香病毒剖析与清除技术总结.pptVIP

熊猫烧香病毒主要行为分析 （2）在各分区根目录生成病毒副本： X:\setup.exe X:\autorun.inf 其中autorun.inf中的内容是： [AutoRun] OPEN=setup.exe shellexecute=setup.exe shell\Auto\command=setup.exe 熊猫烧香病毒主要行为分析 （3）创建启动项： [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] svcshare=%System%\drivers\spoclsv.exe 熊猫烧香在注册表中添加启动项 熊猫烧香病毒主要行为分析 （4）使用net share命令关闭管理共享： cmd.exe /c net share X$ /del /y cmd.exe /c net share admin$ /del /y （5）修改“显示所有文件和文件夹”设置： [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL] CheckedValue=dword（6）尝试关闭安全软件相关窗口： 天网防火墙进程、VirusScan 、NOD32等 （7）尝试结束安全软件相关进程： Mcshield.exe VsTskMgr.exe等 熊猫烧香病毒主要行为分析 （8）禁用安全软件相关服务： Schedule sharedaccess RsCCenter 等 （9）删除安全软件相关启动项： SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RavTask SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KvMonXP （10）遍历目录修改htm/html/asp/php/jsp/aspx等网页文件，在这些文件尾部追加信息： iframe src=hxxp:///wuhan/down.htm width=0 height=0 frameborder=0 /iframe （11）在访问过的目录下生成Desktop_.ini文件，内容为当前日期。 （12）此外，病毒还会尝试删除GHO文件。 熊猫烧香病毒主要行为分析 病毒还尝试使用弱密码将副本以GameSetup.exe的文件名复制到局域网内其它计算机中。 弱密码文件 熊猫烧香病毒手工清除 （1）结束病毒进程： %System%\drivers\spoclsv.exe 查看当前运行spoclsv.exe的路径 （2）删除病毒文件： %System%\drivers\spoclsv.exe 不同的spoclsv.exe变种，此目录可不同。有的病毒变种可能在以下目录中：C:\WINDOWS\System32\Drivers\spoclsv.exe。 （3）删除病毒启动项： [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] svcshare=%System%\drivers\spoclsv.exe 熊猫烧香病毒手工清除 （4）通过分区盘符右键菜单中的“打开”进入分区根目录，删除根目录下的病毒文件： X:\setup.exe X:\autorun.inf （5）恢复被修改的“显示所有文件和文件夹”设置： [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL] CheckedValue=dword（6）修复或重新安装被破坏的安全软件。 本讲小结 熊猫烧香病毒特点 熊猫烧香病毒源码分析 熊猫烧香主要行为分析 具有典型蠕虫病毒 行为分析能力 反病毒能力 熊猫烧香病毒手工清除 Virus 计算机病毒与防治 兆吉鞋业有限公司 资讯部：曾杰彬 教学单元4-4 蠕虫病毒防治 熊猫烧香病毒源码分析 熊猫烧香病毒特点 熊猫烧香病毒行为分析 第二讲 熊猫烧香蠕虫病毒剖析 熊猫烧香病毒的手工清除 熊猫烧香病毒特点 病毒名称 熊猫烧香 又称 尼姆亚、武汉男生、worm.whBoy.、worm.nimaya.? 病毒类型 蠕