熊猫烧香病毒分析报告

熊猫烧香病毒分析报告

1．样本概况

1.1 样本信息

病毒名称：熊猫烧香
所属家族：感染型蠕虫病毒
MD5值： 512301C535C88255C9A252FDF70B7A03
SHA1值： CA3A1070CFF311C0BA40AB60A8FE3266CFEFE870
CRC32： E334747C

1.2 测试环境及工具

测试环境:虚拟机Windows 7 32位
测试工具:火绒剑、PCHunter、PEiD、OllyDbg、IDA

1.3 分析目标

分析病毒具体行为，找到病毒行为的具体实现代码，了解病毒实现原理，评估病毒的威胁程度。

1.4 主要行为概述

病毒行为：
①自我复制样本到C:\Windows\driver\spo0lsv.exe目录下,运行spo0lsv.exe(样本)
②在每个目录下创建了Desktop_.ini,内容为当前日期
③在C盘根目录下创建autorun.inf文件,该文件指定了自动启动的文件为根目录下的setup.exe(即样本)
④对程序目录下的exe进行了感染,图标变为熊猫烧香,打开exe时自动打开病毒
⑤设置注册表启动项为C:\Windows\driver\spo0lsv.exe
⑥删除杀毒软件注册表启动项，关闭服务
⑦访问网站，下载恶意代码

2．具体行为分析

2.1 主要行为

第一部分：自我复制:

第二部分：感染文件

第三部分：自我保护

通过火绒剑和PCHunter监视病毒，发现病毒具有以下行为：
①自我复制样本到C:\Windows\System32\drivers\spo0lsv.exe目录下,运行spo0lsv.exe(样本)

②在每个目录下创建了Desktop_.ini,内容为当前日期

③在C盘根目录下创建autorun.inf文件,该文件指定了自动启动的文件为根目录下的setup.exe(即样本)

④通过火绒剑对程序目录下的文件进行了感染,图标变为熊猫烧香,通过PEID工具感染后exe文件和病毒文件信息相同，运行exe时会自动打开病毒文件。


⑤设置注册表启动项为C:\Windows\System32\drivers\spo0lsv.exe

⑥删除杀毒软件注册表启动项

2.2 恶意代码分析

2.2.1 加固后的恶意代码树结构图

该病毒的壳是FSG v2.0，原程序和脱壳后程序对比：

2.2.2 恶意程序的代码分析片段

恶意程序的主要功能框架:

①自我复制行为

②遍历文件，感染特定类型的文件，包括可执行文件，网页文件以及备份文件。

修改文件图标，修改PE文件内容,起始部分是病毒文件，中间插入了部分代码，末尾添加感染标识：“whboy”+原文件名+".exe"+原文件大小,修改原文件图标为熊猫烧香图标。

PE文件感染后

③设置第一个定时器
判断C盘的根目录下是否存在autorun.inf和setup.exe文件，若不存在则创建文件，并向autorun.inf文件写入内容，指定setup.exe为自启动文件，并且隐藏文件。

④第三个关键函数内有六个定时器

（1）修改病毒的注册表启动项，设置隐藏

（2）检测杀毒软件，关闭杀软进程，删除杀毒软件注册表自启动项
病毒会检测系统的安全服务和当时流行的杀毒软件，如防火墙、金山毒霸、卡巴斯基、江民等杀毒软件。


通过遍历进程,查找窗口等方式定时检测杀毒软件,检测到杀毒软件结束杀毒软件进程。


大部分使用结束进程API,发WM_QUIT消息结束杀软进程,针对某些杀毒软件使用虚拟按键的方式关闭进程,例如Pjf(ustc)冰刃。

（3）通过cmd命令删除共享

（4）网络异常，下载恶意代码

下载恶意代码行为

3．解决方案

3.1 提取病毒的特征，利用杀毒软件查杀

①病毒特征：字符串
xboy 、whboy、武汉男生感染下载者**
②Yara规则

rule vir_3601
{
 strings:
  $text_1="xboy "
  $text_2="whboy" 
$text_3="***武*汉*男*生*感*染*下*载*者***"
condition:
  $text_1 or $text_2 or $text_3
}

③利用ClamAv查杀

3.2 手工查杀步骤

（1）利用PCHunter工具结束进程，并删除spo0lsv.exe文件
（2）清除启动项，关闭svcshare启动项
（3）删除autorun.inf和setup.exe
（4）清除每个盘符下的Desktop_.ini文件
（5）打开注册表，HKLM\Microsoft\Windows\CurrentVersion\Explore
Advanced\Folder\Hidden\SHOWALL\CheckValue,将CheckValue的值设为1。

3.3 熊猫专杀工具

熊猫烧香病毒感染文件只是做了一定的修改，并没有对文件进行加密，所以可以编写专杀工具清除病毒，恢复感染文件。其实就是将手工查杀步骤利用程序自动化完成。
专杀工具源码如下：

#include "pch.h"
#include 
#include 
#include 
#include 
#include 

#define VIRSIZE 0x7531		//熊猫病毒大小

//************************************
// 功能:    查找熊猫病毒进程
//************************************
BOOL FindVirProcess(CString nProcessName,LPDWORD lpPid)
{
	PROCESSENTRY32 pe32;
	pe32.dwSize = sizeof(pe32);
	HANDLE nSnapShot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);

	BOOL nRet = Process32First(nSnapShot, &pe32);
	while (nRet)
	{
		if (nProcessName == CString(pe32.szExeFile))
		{
			*lpPid = pe32.th32ProcessID;
			return TRUE;
		}
		nRet = Process32Next(nSnapShot, &pe32);
	}
	return FALSE;
}

//************************************
// 功能:    删除病毒文件
//************************************
VOID DeleteVirFile(CString szPath)
{
	SetFileAttributes(szPath, FILE_ATTRIBUTE_NORMAL);
	DeleteFile(szPath);
}

//************************************
// 功能:    获取PC盘符列表
//************************************
VOID GetDriverList(vector &DiverList)
{
	TCHAR szDrive[MAX_PATH];
	TCHAR szRootPath[MAX_PATH] = {};
	GetLogicalDriveStrings(MAX_PATH - 1, szDrive);
	TCHAR* lpPath = szDrive;

	while (*lpPath != 0) {
		_tcscpy_s(szRootPath, lpPath);
		szRootPath[2] = _T('\0');
		//szRootPath[-2] = L'\0';
		DiverList.push_back(szRootPath);	//取出第一个盘符路径
		lpPath += _tcslen(lpPath) + 1;
	}
}


//************************************
// 功能:    扫描文件
//************************************
VOID ScanFile(CString lpPath)
{
	//删除文件Desktop_.ini
	DeleteConfig(lpPath);
	//1. 构造路径
	CString szFilePath = lpPath;
	szFilePath += _T("\\*");
	//WCHAR szFilePath[MAX_PATH];
	//StringCbCopy(szFilePath, MAX_PATH, lpPath);
	//StringCbCat(szFilePath, MAX_PATH, L"\\*");
	//2. 第一次遍历
	WIN32_FIND_DATA wfd = { 0 };
	HANDLE hFile = FindFirstFile(szFilePath, &wfd);
	if (hFile != INVALID_HANDLE_VALUE)
	{
		do
		{	
			CString szFullPath = lpPath;
			//3.1 判断是否是本级目录或上级目录
			if (!lstrcmp(wfd.cFileName, L".") || !lstrcmp(wfd.cFileName, L".."))continue;
			szFullPath += _T("\\");
			szFullPath += wfd.cFileName;
			//3.4 如果不是目录,获取详细信息
			if (wfd.dwFileAttributes & FILE_ATTRIBUTE_DIRECTORY)
			{
				ScanFile(szFullPath);
			}
			else
			{
				//恢复文件
				RecoveryFile(szFullPath, wfd.cFileName);
			}
		} while (FindNextFile(hFile, &wfd));
	}
}

//************************************
// 功能:    恢复感染文件
//************************************
void RecoveryFile(CString nFilePath, CString nFileName)
{
	int nVirType = 0;

	CString nLastName;
	nLastName = PathFindExtension(nFileName);
	nLastName.MakeUpper();

	if (nLastName == ".EXE" || nLastName == ".SCR" || nLastName == ".PIF" || nLastName == ".COM")
		nVirType = 1;
	else if (nLastName == ".HTML" || nLastName == ".HTM" || nLastName == ".ASP" || nLastName == ".ASPX" || nLastName == ".JSP" || nLastName == ".PHP")
		nVirType = 2;
	else return;
	//exe,scr,pif,com,htm,html,asp,php,jsp,aspx

	// 1.读取文件到内存
	HANDLE hFile = CreateFile(nFilePath,
		GENERIC_READ, FALSE, NULL, OPEN_EXISTING,
		FILE_ATTRIBUTE_NORMAL, NULL);
	if (hFile == INVALID_HANDLE_VALUE)
	{
		printf("打开文件 %s 失败--%s\n", (CStringA)nFileName.GetBuffer(),
			(CStringA)nFilePath.GetBuffer());
		printf("错误代码--%d\n", GetLastError());
		return;
	}
	// 获取文件大小
	DWORD dwSize = GetFileSize(hFile, NULL);
	CHAR* pFile = new CHAR[dwSize]{};
	// 读取文件内容
	DWORD dwRead;
	SetFilePointer(hFile, 0, NULL, FILE_BEGIN);		//设置文件指针
	ReadFile(hFile, pFile, dwSize, &dwRead, NULL);	//读取文件
	// 关闭文件句柄
	CloseHandle(hFile);

	//恢复文件  病毒感染标识:whboy+原文件名+0x2E+(exe/PIF等)+0x02+原文件大小+0x01
	int i = 0;
	if (nVirType == 1)	//可执行文件恢复
	{
		//获取原文件大小
		for (i = 0; i < 13; i++)
		{
			if (*(pFile + dwSize - 13 + i) == (char)0x02)break;		//0x02是分隔符
		}
		if (i == 13 || * (pFile + dwSize - 1) != (char)0x01)			//0x01是结束符
		{
			//printf("未感染文件！%s\n", (CStringA)nFilePath.GetBuffer());
			delete[]pFile;
			return;
		}
		char nTemp[13]{};
		DWORD nExeSize = 0;
		size_t nCopySzie = 13 - i - 2;
		memcpy_s(nTemp, 13, (pFile + dwSize - 13 + i + 1), nCopySzie);
		sscanf_s(nTemp, "%d", &nExeSize);
		if (nExeSize <= 0)
		{
			delete[]pFile;
			return;
		}
		printf("感染文件类型：%s，尺寸：%d\n", (CStringA)nLastName.GetBuffer(), nExeSize);


		char *NewFile = new char[nExeSize] {};
		memcpy_s(NewFile, nExeSize, (pFile + VIRSIZE), nExeSize);
		
		if (!DeleteFile(nFilePath))
		{
			printf("修复%s失败！%s\n", (CStringA)nLastName.GetBuffer(),
				(CStringA)nFilePath.GetBuffer());
			delete[]NewFile;
			delete[]pFile;
			return;
		}

		// 1.写入文件
		HANDLE hFile = CreateFile(nFilePath,
			GENERIC_WRITE, FALSE, NULL, CREATE_NEW,
			FILE_ATTRIBUTE_NORMAL | FILE_FLAG_RANDOM_ACCESS, NULL);
		if (hFile == INVALID_HANDLE_VALUE)
		{
			printf("写入文件失败\n");
			return;
		}
		DWORD dwWrite;
		WriteFile(hFile, NewFile, nExeSize, &dwWrite, NULL);	//读取文件
		CloseHandle(hFile);
		if (dwWrite == nExeSize)
		{
			delete[]NewFile;
			printf("修复%s成功！%s\n", (CStringA)nLastName.GetBuffer(), 
				(CStringA)nFilePath.GetBuffer());
		}
	}
	else //网页文件恢复
	{
		CStringA nFileCode(pFile);
		if (nFileCode.Find("www.ac86.cn/66/index.htm") != -1)
		{
			int nHtmlSize = dwSize - 76;

			char *NewFile = new char[nHtmlSize] {};
			memcpy_s(NewFile, nHtmlSize, pFile, nHtmlSize);
			if (!DeleteFile(nFilePath))
			{
				printf("修复%s失败！%s\n", (CStringA)nLastName.GetBuffer(),
					(CStringA)nFilePath.GetBuffer());
				delete[]NewFile;
				delete[]pFile;
				return;
			}
			HANDLE hFile = CreateFile(nFilePath,
				GENERIC_WRITE, FALSE, NULL, CREATE_NEW,
				FILE_ATTRIBUTE_NORMAL, NULL);
			if (hFile == INVALID_HANDLE_VALUE)
			{
				printf("创建网页文件失败--%s\n", (CStringA)nFilePath.GetBuffer());
				return;
			}
			DWORD dwWrite;
			WriteFile(hFile, NewFile, nHtmlSize, &dwWrite, NULL);	//写入文件
			CloseHandle(hFile);
			if (dwWrite == nHtmlSize)
			{
				delete[] NewFile;
				printf("修复%s成功！%s\n", (CStringA)nLastName.GetBuffer(), 
					(CStringA)nFilePath.GetBuffer());
			}
		}
	}
	delete[] pFile;
	pFile = nullptr;
}

//************************************
// 功能:    删除配置文件
//************************************
void DeleteConfig(CString szPath)
{
	// 1.构造路径
	CString szFilePath = szPath;
	szFilePath += _T("\\Desktop_.ini");
	// 2.删除文件
	WIN32_FIND_DATA wfd = { 0 };
	HANDLE hFile = FindFirstFile(szFilePath, &wfd);
	if (hFile == INVALID_HANDLE_VALUE)
	{
		return;		//文件不存在
	}
	FindClose(hFile);
	DeleteVirFile(szFilePath);
	printf("删除Desktop_.ini成功--%ls\n", szFilePath.GetBuffer());
}


int main()
{
    // 1.结束病毒进程,删除文件
	DWORD dwPid = 0;
	FindVirProcess("spo0lsv.exe", &dwPid);
	HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, dwPid);
	TerminateProcess(hProcess, 0);
	DeleteVirFile("C:\\Windows\\System32\\drivers\\spo0lsv.exe");
	printf("完成----结束病毒进程\n");

	// 2.删除病毒自启动项
	//HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\svcshare
	HKEY hKey = NULL;
	int nError = RegOpenKeyA(HKEY_CURRENT_USER, "Software\\Microsoft\\Windows\\CurrentVersion\\Run\\", &hKey);
	if (nError != ERROR_SUCCESS) MessageBoxA(NULL, "打开注册表失败1", "提示", MB_ICONWARNING);
	RegDeleteValueA(hKey, "svcshare");
	RegCloseKey(hKey);
	printf("完成----删除病毒自启动项\n");
	// 3.恢复注册表CheckValue值
	//HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\\CheckedValue
	nError = RegOpenKeyA(HKEY_LOCAL_MACHINE, "SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced\\Folder\\Hidden\\SHOWALL\\", &hKey);
	if (nError != ERROR_SUCCESS) MessageBoxA(NULL, "打开注册表失败2", "提示", MB_ICONWARNING);
	DWORD nVal = 1;
	RegSetValueExA(hKey, "CheckedValue", 0, REG_DWORD, (CONST BYTE*)&nVal, sizeof(DWORD));
	RegCloseKey(hKey);
	printf("完成----恢复注册表CheckValue值\n");
	// 4.删除autorun.inf和setup.exe
	DeleteVirFile("C:\\autorun.inf");
	DeleteVirFile("C:\\setup.exe");
	printf("完成----删除autorun.inf和setup.exe\n");
	// 5.遍历文件夹,清除Desktop_.ini,恢复感染文件
	vector DiverList;
	GetDriverList(DiverList);
	for (UINT i=0;i