熊猫烧香病毒分析报告

星夢妙者
2025-08-21
热度

大家好，我们又见面了，我是你们的朋友全栈君。

1．样本概况1.1 样本信息（1）病毒名称：spo0lsv.exe

（2）所属家族：熊猫烧香

（3）MD5值：B8F8E75C9E77743A61BBEA9CCBCFFD5D

（4）SHA1值：188FC8FC580C0EA4BF8A8900A3D36471823C8923

（5）CRC32：E63D45D3

（6）病毒行为：

将自身复制到系统目录

设置文件属性为隐藏，并且阻止用户查看隐藏文件

修改注册表

添加自身到启动项，实现开机自启动

修改PE文件

覆盖PE文件

检测并关闭杀毒软件

删除杀毒软件的启动项

通过139和445端口感染局域网内的其他计算机

设置定时器，定期执行恶意行为

从指定网站下载数据包

1.2 测试环境及工具测试环境：Windows 7 32位

工具：火绒剑，IDA，OD

1.3 分析目标寻找病毒行为的具体实现代码，理解病毒行为的实现原理，了解病毒对机器的具体执行行为，进一步评估病毒对宿主机器的威胁程度。

2．具体行为分析2.1 恶意程序的功能框架第一部分：

第二部分：

第三部分：

2.2 恶意程序的主要行为以及对用户的危害（1）遍历进程、线程、模块和堆

（2）检测杀毒软件

病毒会检测当时流行的杀毒软件，包括McAfee、金山毒霸、冰刃、江民、瑞星以及卡巴斯基等。

各个杀毒软件的可执行程序名称

（3）删除杀毒软件在注册表中的值

通过火绒剑可以观察到病毒定期检测并删除杀毒软件在注册表中的自启动选项。

（4）修改注册表，添加自身到自启动列表中

病毒将文件属性设置为隐藏，阻止通过文件夹属性设置显示隐藏文件，同时将自身的一个可执行程序加入到启动项中，使其能够开机自启动。

修改注册表项的值

删除自启动

（5）有网络相关操作，从指定地址下载文件

关键API为URLDownloadToFileA，该API能从指定URL读取内容并保存到指定文件中。

（6）运行inf配置文件

在autorun.inf文件中会启动setup.exe，setup.exe会进行后续其他操作。

（7）通过CMD命令取消系统中的共享

（8）修改宿主机器中的文件，更换文件图标

（9）修改PE文件内容

PE文件的内容被更改，中间插入了部分代码。

将最后的内容修改成：＂WhBoy＂+文件名+＂.exe＂+随机值。

修改文件内容结尾，可通过010editor查看

（9）病毒自校验

在关键主体函数执行前有字符串的校验，校验通过后才会执行下面三个关键主体函数

三个关键函数

（10）复制文件，运行程序

程序会在C:\Windows\System32\drivers目录下拷贝一个文件，文件名为spo0lsv.exe。

复制文件到指定目录下

已复制的文件

在拷贝文件完成之后，病毒就会利用WinExec来运行指定的应用程序，之后spo0lsc.exe就会被运行起来，原来的进程会被结束。

（11）设置定时器

第二个关键函数中有一个定时器，第三个关键函数中有三个定时器，一共用到了7个定时器。

第一个定时器：

判断每个盘的根目录下是否存在autorun.inf和setup.exe，若不存在，创建autorun.inf文件并且填充内容；复制setup.exe，设置两个文件属性为隐藏。

配置文件的内容

第二个定时器：

通过遍历窗口结束指定进程，一旦检测到其中任意一个窗口存在，就会将其关闭。若想查看进程，需要用到tasklist命令，结束进程可以用taskkill命令。

第三个定时器：

通过连接网络来更新，从网上下载数据。

第四个定时器：

通过命令行，实现关闭共享。

第五个定时器：

使一系列的杀毒软件启动项设置失效，保护自身不被杀毒软件检测出来

第六个和第七个定时器：

通过网络访问相关API来从网络上获取数据。

3．解决方案3.1 提取病毒的特征，利用杀毒软件查杀病毒特征：

字符串：***武*汉*男*生*感*染*下*载*者***

Whboy

3.2 手工查杀步骤（1）结束进程spo0lsv.exe，可通过cmd命令tasklist和taskkill结束进程

（2）在cmd中输入msconfig打开启动项管理，把svcshare这个启动项关闭

（3）打开注册表,找到：

HKLM\Microsoft\Windows\CurrentVersion\Explore/Advanced/Folder\Hidden\SHOWALL\CheckValue

将CheckValue的值设置为1

（4）在资源管理器中设置显示隐藏文件，把autorun.inf和autorun.exe删除

（5）在C:\Windows\system32\drivers\目录下找到spo0lsv.exe，删除文件

（6）清除每个盘符下的Desktop.ini