哈哈，我把熊猫烧香病毒扒了！

不念不忘少年蓝@ 2022-09-14 15:20 206阅读 0赞

![136615335ef13069642276f4b782fc69.png][]

程序员的成长之路

互联网/程序员/技术/资料共享

[关注][Link 1]

阅读本文大概需要 3 分钟。

来自：看雪论坛

链接：https://bbs.pediy.com/thread-266655.htm

0x0分析目标

详细分析病毒的行为和目的，编写出专杀工具以及修复工具

# 0x1 信息收集 #

## 1.1 哈希值 ##

![523c8e51ffb13607195ef9301b7bdd7b.png][]

## 1.2 查壳 ##

根据PEid分析结果得知，该软件没有加壳，程序是使用delphi编写的。

![6be7c5b96a12cb8c2e2b459acd259f1a.png][]

# 0x2 分析环境及工具 #

测试环境：vmware + Windows XP

分析工具：IDA pro、OD、PEiD等。

# 0x3 具体行为分析 #

## 3.1 主要行为 ##

病毒运行后，会伪装成系统的spcolsv.exe进程，并修改注册表，达到启动运行和隐藏自身的目的，然后会对电脑的全盘文件进行扫描，然后系统的可执行文件和网页文件进行传播。除此之外，通过139/445端口，尝试弱密码登录，进行网络传播。另外，该病毒还会从网络上下载其他恶意软件或者广告软件，达到制作者的目的。

## 3.2 程序对用户造成的危害 ##

全盘文件感染和gho备份删除并感染其他网络主机。

## 3.3 恶意代码分析 ##

核心功能主要由三个函数进行实现，下面进行详细分析。

![c60ee830324370c76f3b8fd68e04f86d.png][]

## 3.2 安装和运行部分 ##

检测当前目录是否存在Desktop\_.ini文件，如果存在则删除，该文件保存病毒感染当前目录的日期。

接着，病毒会通过检查文件路径、病毒感染标志来确定进当前病毒属于以下三种情况的哪一种情况。进程本身属于原始病毒文件、被感染的可执行文件、以及伪装目标进程三种情况。

*  原始病毒文件

拷贝自身到 ~/system32/driver/目录，重命名为spcolsv.exe并运行，然后结束当前进程。

![4fd4e502c4ac444a5ad45e19b2b13afa.png][]

*  被感染的可执行文件

1）在当前目录释放被感染的原始文件

2）创建自删除批处理，并运行

3）拷贝病毒部分到到系统目录，伪装系统服务。

![ac3502f2d689636bd2e763674c58327f.png][]

*  伪装的目的进程文件

继续执行其他模块功能。

## 3.3 感染部分 ##

接下来就是感染其他文件或者感染其他主机，病毒会通过本地文件感染、U盘自动感染以及网络三种方式进行传播。同时，为了防止电脑用户对系统进行还原，在查找到.gho文件时，会对其进行删除。

### 3.3.1 感染本地文件部分 ###

创建一个线程，遍历所有的磁盘和文件，对不同类类型文件进行处理。

#### 1 删除GHO文件 ####

防止用户利用GHO文件进行系统恢复。

![6a7d02b74e05a4b549885b4b9fae2dbf.png][]

#### 2 感染可执行文件 ####

感染目标文件后缀类型有：EXE、SCR、PIF、COM

具体感染请参考感染后的文件格式。感染完毕后，会在当前目录中创建Desktop\_.ini，并写入日期（年-月-日），当病毒二次扫描到该目录时，会对当前日期和文件内的日期进行比较，如果时同一天就不再感染当前目录了。

![f3b167f16c5c49ba5b71647f9f44f21e.png][]

*  病毒的感染标识

感染PE文件后，会在文件的末尾写上标志，格式为：

WhBoy+ 源文件名 + 0x2标记 + 源文件大小+0x1标记

![c2f453f595d9b2df904934cff31c7353.png][]

*  感染文件结构

病毒文件 + 原始文件 + 标记字符串

#### 3 感染web文件 ####

感染目标文件后缀类型有：htm、html、asp、php、jsp、aspx

![0713694637ef4ff968e10b917d1a7a7d.png][]

在web文件最后加上一句，该内容在文件中是加密的，解密后在写入文件末尾：

![24aa35ac54e7ea277eb6d23ab59350dc.png][]

### 3.3.2 磁盘传播 ###

通过SetTimer，每间隔6s复制自身所有磁盘的根目录，将病毒文件赋值到每个磁盘根目录并重命名为setup.exe。然后写入autorun.inf，注意这两个文件都是隐藏了。

### 3.3.3 网络传播 ###

利用弱密码通过139/445端口进行登陆.

![d20a5d34ae8798a944548a55ef82a87f.png][]

## 3.4 自我保护部分 ##

这部分通过设定4分不同时长的定时器进行，然后定时执行下面几种操作。

![1783621a96b9b1a21cbc60b079c85566.png][]

### 3.4.1 杀进程和自启动 ###

l 遍历进程和窗口，关闭特定杀毒软件或系统工具等

![bb3af01363ee2f045654274bc6935785.png][]![16c67fbe0ee0b90b4a498f909ff6ed40.png][]![7345f52f0bfbedff0f656fc312b6744c.png][]

设定自启动和隐藏文件

![81965c218e51cead5da70bb7ed2be34d.png][]

### 3.4.2 从网络下载其他恶意软件 ###

![3b267fa1515ed80e75ef3794d3a746fa.png][]

### 3.4.3 关闭默认共享 ###

![db042bbb6e0d22675a95f7a5ac0e998d.png][]

### 3.4.4 关闭杀毒软件等服务 ###

![7205beb3e97370815ceebca8f3d8bc42.png][]

# 0x4 解决方案 #

## 4.1 预防措施 ##

毕竟是很老的病毒了，安装防火墙杀毒软件，不要使用弱密码。

## 4.2 手工查杀 ##

## 4.3 编写专杀工具 ##

思路：

编写一个程序，遍历文件，如果是可执行文件，则检查标志字符串，如果是被感染文件则还原原始文件，如果是web文件，则删除最后一个iframe。

具体程序就不编写了。

<END>

**推荐阅读：**

[大学生“暗网”发现“财富密码”，结果悲剧了~][Link 2]

[Docker镜像优化：从1.16GB到22.4MB，真强！][Docker_1.16GB_22.4MB]

**互联网初中高级大厂面试题(9个G)**

内容包含Java基础、JavaWeb、MySQL性能优化、JVM、锁、百万并发、消息队列、高性能缓存、反射、Spring全家桶原理、微服务、Zookeeper、数据结构、限流熔断降级......等技术栈！

⬇戳阅读原文领取！                                       朕已阅 ![99c24ba2242996b5090ff12b7322c800.gif][]

[136615335ef13069642276f4b782fc69.png]: /images/20220828/cfe5cc466bed4939a615174ed4a11a32.png
[Link 1]: https://mp.weixin.qq.com/s?__biz=MzUyNDkzNzczNQ==&mid=2247487442&idx=3&sn=61e758d4bf9f15a3419fd028146469a3&chksm=fa24f0bacd5379ac93d74ffebac826d2401fd494f82e900e5102a8bf968f108e4ec72a4ad548&token=1854383306&lang=zh_CN&scene=21#wechat_redirect
[523c8e51ffb13607195ef9301b7bdd7b.png]: /images/20220828/63d75d9c909744d1a43a8ace9185343c.png
[6be7c5b96a12cb8c2e2b459acd259f1a.png]: /images/20220828/2f78028e4ac346b7aab792574b7d9d04.png
[c60ee830324370c76f3b8fd68e04f86d.png]: /images/20220828/8fa6313e6e10475fbcb5affb0fe6d1de.png
[4fd4e502c4ac444a5ad45e19b2b13afa.png]: /images/20220828/bfb2b329a3f04df0ae9670d07e7cc930.png
[ac3502f2d689636bd2e763674c58327f.png]: /images/20220828/1bde3178017a4f7abb1e6d98f07d7f2a.png
[6a7d02b74e05a4b549885b4b9fae2dbf.png]: /images/20220828/f58c8361d33d4322843417ef47ee50b7.png
[f3b167f16c5c49ba5b71647f9f44f21e.png]: /images/20220828/6a3d8f52d68b4508ade402da40b515be.png
[c2f453f595d9b2df904934cff31c7353.png]: /images/20220828/cb849e85dd474500a64fdfd5cbc582c6.png
[0713694637ef4ff968e10b917d1a7a7d.png]: /images/20220828/4446273c1c7945d28849fbc56c190818.png
[24aa35ac54e7ea277eb6d23ab59350dc.png]: /images/20220828/153a3ba638844d2dbb2d78d147c7a354.png
[d20a5d34ae8798a944548a55ef82a87f.png]: /images/20220828/405cdab49b344e15a9dd4ff75c022d7b.png
[1783621a96b9b1a21cbc60b079c85566.png]: /images/20220828/ade04a7785e34baab19140396a633a59.png
[bb3af01363ee2f045654274bc6935785.png]: https://img-blog.csdnimg.cn/img_convert/bb3af01363ee2f045654274bc6935785.png
[16c67fbe0ee0b90b4a498f909ff6ed40.png]: https://img-blog.csdnimg.cn/img_convert/16c67fbe0ee0b90b4a498f909ff6ed40.png
[7345f52f0bfbedff0f656fc312b6744c.png]: /images/20220828/5661da53c8e0420180dac12b5ac02b5e.png
[81965c218e51cead5da70bb7ed2be34d.png]: /images/20220828/85a2631a75cf41c486a1ab99874b8fc4.png
[3b267fa1515ed80e75ef3794d3a746fa.png]: /images/20220828/bee845963de64fbf97c87c0af9c88b9f.png
[db042bbb6e0d22675a95f7a5ac0e998d.png]: /images/20220828/3f9df458d1f44eeb893edd80878f59ec.png
[7205beb3e97370815ceebca8f3d8bc42.png]: /images/20220828/f199a5804c014b2b8f2bc54a92f8df30.png
[Link 2]: http://mp.weixin.qq.com/s?__biz=MzUyNDkzNzczNQ==&mid=2247512200&idx=1&sn=acdc105277c36428508379deef2fcccc&chksm=fa274fe0cd50c6f6e4f535c2c291d65c9555cfe6bb73832f35e15c51915b193c5001e401233a&scene=21#wechat_redirect
[Docker_1.16GB_22.4MB]: https://blog.csdn.net/xiaoxiaole0313/article/details/112551225
[99c24ba2242996b5090ff12b7322c800.gif]: /images/20220828/2f3d09251c924d09ba84a0d455289274.png