熊猫病毒真可恶！能查出来是谁制作的？

熊猫烧香病毒幕后黑手曝光 曾造2005十大病毒这是一波电脑病毒蔓延的狂潮。在两个多月的时间里，数百万电脑用户被卷将进去，那只憨态可掬、颔首敬香的“熊猫”除而不尽，成为人们噩梦般的记忆。

反病毒工程师们将它命名为“尼姆亚”。它还有一个更通俗的名字———“熊猫烧香”。它迅速化身数百种，不断入侵个人电脑，感染门户网站，击溃企业数据系统……它的蔓延考问着网络的公共安全，同时引发了一场虚拟世界里“道”与“魔”的较量。反病毒工程师和民间反病毒人士纷纷投身其中。

1月19日，一个最新的“熊猫烧香”变种病毒出现。病毒作者宣称，这将是“熊猫烧香”最后一次更新。

这场历时两个多月的较量结束了吗？

“蜜罐”中发现病毒

2006年11月14日，中关村瑞星公司总部14楼。

一群反病毒工程师围着一台与网络隔绝的电脑。随着鼠标点动，数百个熊猫图标出现在屏幕上。这是工程师们当天捕获的病毒，命名为“尼姆亚”。

史瑀是瑞星公司研发部病毒组的反病毒工程师。他每天的工作就是，和数十名伙伴一起捕捉网上流传的病毒，然后将病毒“拆”开，研究其内部结构后，升级瑞星的病毒库。

当天下午，一名用户向他们提交了一份病毒样本。随后，他们又在病毒组的“蜜罐”内，发现了该病毒的踪影。

“蜜罐”是病毒组设立在互联网上的一些防卫性孱弱的服务器，工程师们故意在服务器上设置多种漏洞，诱使病毒侵入。“就像猎人做的沾满蜜糖的陷阱，专门吸引猎物上钩。”

从“蜜罐”里提取病毒后，史瑀和同事们将病毒移到公司14楼的一台与网络隔离的电脑上，这里是病毒的“解剖台”。

“运行病毒之后，系统所有的图标都变成了熊猫。”史瑀眼前的屏幕上，出现了一排排的熊猫图案，熊猫们手持三炷香，合十作揖。

经过分析，工程师们发现，在病毒卡通化的外表下，隐藏着巨大的传染潜力，它的传染模式和杀伤手段，与风行一时的“威金”病毒十分相像。瑞星公司随即发布病毒预警。

病毒蔓延涌向全国

“最开始的‘尼姆亚’不算厉害。”史瑀说，随着病毒作者的不断更新，它的破坏力和传染力也随之上升。

2006年11月底，“尼姆亚”只有不到十个变种，然而12月开始，病毒作者从数日一更新，变为一日数更新，它的变种数量成倍上升。这时候，“熊猫烧香”已经取代了“尼姆亚”这个名字。

12月中旬，“熊猫烧香”进入急速变种期，在几次大面积暴发之后，“熊猫烧香”成为众多电脑用户谈之色变的词汇。

圣诞节过后，“熊猫烧香”版本已达到近百个。

史瑀说，去年12月下旬，国内近千家大型企业感染“熊猫烧香”，向瑞星求助。“当病毒变种和感染人群超过一定数量时，病毒的传播就会以几何方式增长。”

12月26日，金山毒霸全球反病毒监测中心发布“熊猫烧香”正疯狂作案的病毒预警。

27日，江民科技发布关于“熊猫烧香”的紧急病毒警报。

2007年1月7日，国家计算机病毒应急处理中心紧急预警，“通过对互联网络的监测发现，一伪装成‘熊猫烧香’图案的蠕虫病毒传播，已有很多企业局域网遭受该蠕虫的感染。”

1月9日，“熊猫烧香”继续蔓延，开始向全国范围的电脑用户涌去。

这一天，“熊猫烧香”迎来了一次全国性的大规模暴发，它的的变种数量定格在306个。

各地用户纷纷中招

小江是黑龙江省一家网吧的网管。1月9日到1月10日的两天间，他所在的网吧内空空荡荡，并无顾客，打开网吧的40多台电脑，屏幕上布满了“熊猫烧香”图标，系统崩溃，无法运行。

“毒是9日早晨中的，一开始只是一台机器，我杀毒时候，局域网内其他机器陆续中招。”小江说。

同一天早晨，在北京一家IT公司工作的刘先生上班后发现，公司近30台电脑全部感染“熊猫烧香”，病毒破坏了电脑内的程序文件，并删除了电脑备份，公司正在研发中的半成品软件毁于一旦。

刘先生愤怒之下却又无奈。在年度总结报告中，他特意加上了一条：“以后重要程序必须备份，防范类似‘熊猫烧香’的流氓病毒。”

同一天晚上，北京的一家报社里，技术人员们东奔西跑，几十名编辑记者都在等待着他们清除电脑里的“熊猫烧香”。

1月10日，上海一家台资公司的员工张先生打开电脑，迎接他的是一排排拱手举香的熊猫。环顾四周，他发现同事们脸上有同样的惊诧表情。整整一天，公司业务陷于瘫痪。

……

根据瑞星公司提供的“熊猫烧香”病毒用户求助数据，仅1月9日一天，瑞星用户向公司求助的人数已达1016人次，11日达到1002人次。因为是选择性求助，并仅限于瑞星杀毒软件的正版用户，这个数据只是冰山一角。

据了解，1月9日感染的电脑用户达数十万。其中北京、上海等电脑用户较集中的城市成为“重灾区”。

“熊猫”并未就此止步，它继续四处“烧香”。随着变种的不断增多，病毒洪潮蔓延无休，并且愈演愈烈。

截至目前，“熊猫烧香”病毒变种已达416个，受感染电脑用户达到数百万台。

1月22日，国家计算机病毒应急处理中心再次发出警报，在全国范围内通缉“熊猫烧香”。

门户网站遭遇感染

1月24日，北京市政府信息工作办公室在官方网站上设立了“熊猫烧香”病毒专题，其中撰文称：“一种伪装成‘熊猫烧香’图案的病毒正在疯狂作案……目前已有多家企业局域网和网站遭受重创，多数网民也深受其害。”

“熊猫烧香”因何难退？

“‘熊猫烧香’和以往的病毒不同，它采用了一种新的传播手段。”史瑀说，传统的蠕虫病毒是通过一台中毒电脑传至局域网内其他电脑，而“熊猫烧香”在整合了所有可利用的传播漏洞之外，还可以通过网站传播。

感染“熊猫烧香”的电脑，会在硬盘的所有网页文件上附加病毒。“如果被感染的是网站编辑和记者的电脑，那么通过中毒的网页，‘熊猫烧香’就可能附身在网站的所有网页上。”史瑀说，访问这种中毒的网站时，网民就会感染“熊猫烧香”病毒。

从传统的点对点，到现在的点对面，“熊猫烧香”借助中毒网站的惊人访问量急速传播。

据反病毒工程师称，他们曾监控到，“熊猫烧香”感染过天涯社区、硅谷动力、pconline等门户网站，在暴风影音等知名软件的下载链接中也曾有“熊猫烧香”附身的痕迹。同时，“熊猫烧香”还可借助搜索引擎进行病毒传播。

“借助局域网天女散花，借助门户网站星火燎原，借助U盘死灰复燃。”史瑀说，“熊猫烧香”的三项主要传播方式，成为病毒难以退去的主要原因。

反毒人士抗击病毒

史瑀说，自去年圣诞节之后，瑞星公司病毒组就开始不断加班，每当“熊猫烧香”发布新变种，工程师们就立即采集样本，解剖病毒，并升级相应的专杀工具。“这段时间里，通宵熬夜就有4次。”

“‘熊猫烧香’技术谈不上高超，主要依赖于作者不断疯狂地更新，它更新，我们就随之更新专杀工具。”史瑀说，“熊猫烧香”善于利用新漏洞，比如1月8日的变种就利用了QQ一项最新的安全漏洞。

“熊猫烧香”诞生至今，病毒版本修改了400余次，史瑀和同事们开发的专杀工具也升级了10余次。

除杀毒软件公司外，散布在网民中的“反毒高手”在抗击“熊猫烧香”中同样发挥了重要作用。

在卡卡网络社区的反病毒论坛上，云集着不少电脑高手，他们大都是业余编程爱好者，时常一起研究杀毒技术。“熊猫烧香”刚现身，就引起了他们的注意。

2006年10月底，在瑞星公司尚未捕获“熊猫烧香”病毒时，程序高手“农夫”就已经拿到了当时的“熊猫烧香”病毒样本，并编写了专杀工具。此后，每当“熊猫烧香”发布变种时，反病毒论坛的网友mopery和艾玛等人，就会写一份详细的变种分析报告，指出病毒的危险性和新特性。

“其实民间的杀毒高手很多。”史瑀说，他自己以前就是一名民间高手，高中时代起就爱好研究病毒，大学毕业后被杀毒软件公司招募。所以，他现在经常会浏览一些著名技术论坛，如果民间高手有一些好的想法，病毒组也会借鉴。

史瑀说，他手头掌握着一张“底牌”———“未知病毒查杀”。他说，这种杀毒办法可以判断病毒的“家族特征”，只要变种符合一系列特征，专杀工具就能有效查杀。

史瑀介绍了这种新专杀工具的工作原理，但他要求记者报道时隐藏该项内容，“让病毒作者知道了就麻烦了，这是我们取胜的杀手锏。”

一场未结束的战争

1月19日，“熊猫烧香”发布了一个新的变种，病毒作者同时宣称，这将是“熊猫烧香”最后一次更新。

消息传来，在卡卡社区上，饱受“熊猫烧香”折磨的网民们一片雀跃。高兴之余，他们开始反思得失。

在反病毒论坛上，网友tom2000发表了一篇名为《熊猫启示录———风波过后的反思》帖子，文中称：“以后有多少新的病毒/木马会借鉴熊猫的经验呢？一切才刚刚开始！”

业内专家认为，中国的互联网处于起步初期，大部分网民缺乏最基本的网络安全防范知识，也缺少良好的上网习惯。安全意识的薄弱，给病毒大面积传播带来可乘之机。同时，随着计算机在各个行业的普及，病毒造成的损害也将越来越严重。

1月24日下午，反病毒工程师们又发现了一种新型病毒，这种病毒和“熊猫烧香”十分相似，工程师怀疑它是“熊猫烧香”作者创作的新版本病毒。

这种病毒会把受感染用户电脑上的所有图标换成一个男子的头像，在头像的眼睛位置是两个电灯泡。

反病毒工程师们担心的是，“灯泡男子”会不会成为“熊猫烧香”的接班人。

“这是一场看不见硝烟的战争，对我们而言，战争还在继续。”史瑀说。

谁制造了“熊猫烧香”？他意欲何为？在“熊猫烧香”肆虐期间，关于作者身份的种种猜测流传于互联网上。在百度“熊猫烧香”贴吧中，数百名深受“熊猫”所害的网民发帖“通缉”病毒制造者，更有网民声称开出10万美元的悬赏花红。

昨天，反病毒工程师向记者透露，“熊猫烧香”的作者并非无迹可寻，在解剖病毒过程中，他们发现了留在病毒内的一些神秘留言。在这些留言里，“熊猫烧香”的作者自称whboy———“武汉男孩”。

“熊猫”体内暗藏留言

mopery是卡卡社区反病毒论坛的版主，也是一名反病毒高手。

2006年10月中旬，mopery接到网友求助。在帮忙解决电脑故障的过程中，他拿到了一个病毒样本，它就是“熊猫烧香”的原始版本。

将病毒“解剖”之后，在繁复的程序代码中，mopery看到了一段与程序无关的信息，其中有一行字母：“whboy”。

“whboy”这个名字，对于病毒研究者有着不一般的含义。2004年，whboy即发布了其创作的病毒“武汉男孩”，那是一种通过QQ传播的盗号木马，因为其变种的疯狂和传播的广泛，一年后，被江民反病毒中心列入2005年十大病毒之列。

此后，whboy还在一些病毒论坛和黑客论坛发帖，表示可以提供盗取QQ号服务，但不久后便销声匿迹，直至“熊猫”出现。

mopery对“熊猫烧香”进行了认真分析。他发现，这种病毒并不拥有最厉害的技术，却拥有最成熟的传播手段。

mopery对“熊猫烧香”产生了浓厚的兴趣，他联系了另一名民间反病毒高手农夫，在2006年10月25日推出了第一款专杀工具：尼姆亚蠕虫专杀。

“第一只熊猫没什么威力，厉害的是后面的变种。”mopery说，从发现第一版“熊猫烧香”后，一个月内，它的变种就达到了十几种。

在这些变种中，每隔一段时间，作者都有意在病毒中留下whboy字样。“他主要给我们这些分析病毒的人看，普通用户看不到代码。”

随着变种增多，反病毒人士在连续解剖病毒的同时，开始期待更多留言出现。

病毒内部列出“鸣谢单位”

2006年12月初，“熊猫烧香”变种加速，代码中除了whboy字样外，又多了一行汉字：“武汉男孩感染下载者。”随着变种的增多，代码内附带的信息也越来越多。

此时，mopery和艾玛已经加入抗击“熊猫烧香”的大军当中。他们分析熊猫的新变种，并在卡卡社区反病毒论坛上，贴出一份份详细的病毒分析报告。

他们的举动，吸引了病毒作者“武汉男孩”的注意力。在1月初一份病毒变种中，神秘留言再次更新。

“感谢mopery对此木马的关注。”留言中新添的这句话，让mopery啼笑皆非。随后，武汉男孩似乎迷恋上了这种病毒内部列出“鸣谢单位”的模式，在1月5日的病毒留言中，感谢名单上添加了艾玛的名字。1月9日，感谢名单中又多了杀毒高手“海色之月”的名字，文末还添加了一句“服了……艾玛…… ”

此后，武汉男孩开始频繁用这种方式与对手“交流”。

1月15日，武汉男孩还在留言中和反毒者taylor77打起了招呼：“taylor77，不知道找我啥事啊？”并且戏言：“我制作的病毒已经‘满城尽烧国宝香’。”

网络世界高手对决一个月

1月16日，武汉男孩发布了新的病毒变种，反毒者们习惯称之为“艾玛”版本。因为在这个病毒内部的留言中，写了22次艾玛的名字。

1月19日晚，“熊猫烧香”发布了最后一次更新。这个版本可称为传染手段最全面的版本。

在“熊猫烧香”的最后一个版本中，武汉男孩写下了临别赠语：“在此对各位中过此木马的网友和各位网管人员表示深深的歉意！对不起，你们辛苦了！mopery，很想和你们交流下！某某原因，我想还是算了！”

面对“熊猫烧香”停止更新的消息，反病毒工程师史瑀显得很平静：“我们希望熊猫风波就此结束，但是武汉男孩有失言的先例。总之他只要更新，我们就奉陪到底。”

对于持续对决一个多月，却不知藏身何处的武汉男孩，mopery的赠言是：“我希望他能好好利用自己的技术来服务广大网民，而不是给网民带来痛苦。”

“武汉男孩”身份存仨版本

虽然武汉男孩表示不再更新“熊猫烧香”，但这场席卷全国的病毒狂潮却余波难平。网民们纷纷猜测武汉男孩的真实身份。

经调查，目前在业内人士中，关于武汉男孩的身份有三种猜测。其一，武汉男孩是一名15岁的武汉少年，证据是网络上流传的他和反毒者农夫的QQ对话。其二，武汉男孩是桂林一家软件公司的副总裁，曾编写过流氓软件，消息来源是反病毒论坛。其三，武汉男孩是国内杀毒软件公司的员工，故意编写病毒，促销相应的杀毒产品。

为核证传言，记者分别采访了mopery和瑞星公司反病毒工程师史瑀。

mopery称，经过他和农夫的核证，证实流传的QQ聊天片断的主人公，是另外一种病毒的作者，而非武汉男孩。至于公司副总的说法，属空穴来风。

作为杀毒软件公司的员工，史瑀说，每次大型病毒流传后，总有各种对杀毒软件公司不利的传言，但杀毒软件界的程序员不会编写病毒、扰乱网络。他反问道：“流感病毒是医生制作的么？”

mopery和史瑀都表示，从留言的内容和程序代码来看，武汉男孩是一位有丰富病毒编写经验的熟手，经常浏览卡卡社区反病毒论坛，随时关注mopery等人的病毒分析。卡卡社区有59万余名会员，武汉男孩一定身在其中，但这个范围却再难缩小。“武汉男孩本身精通网络技术和入侵技术，通过他上网的痕迹追查真身很难实现。”mopery说。

“熊猫烧香”带有商业目的

史瑀说，他们经过分析认为，“熊猫烧香”带有强烈的商业目的，“用户感染病毒后，会从后台点击国外的网站，部分变种中含有盗号木马，病毒作者可借此牟利。”

“现在的病毒作者和上世纪90年代的不同，他们不再以炫耀技术为目的，而是带有明确商业目的，病毒和流氓软件界限越来越模糊了。”史瑀说。

昨天下午，瑞星公司工作人员表示，已将病毒作者的相关证据和病毒特性提交给国家计算机病毒应急处理中心。国家计算机病毒应急处理中心工作人员称，关于这场“熊猫烧香”病毒风暴，受波及的电脑数字以及造成的经济损失等相关数据，目前正在统计，将于近日在其主页上公布。

关于是否向公安机关报案，这名工作人员表示，目前不便透露。

“我相信总有一天会见到武汉男孩真面目的。”mopery说

病毒描述：

“武汉男生”，俗称“熊猫烧香”，这是一个感染型的蠕虫病毒，它能感染系统中exe，com，pif，src，html，asp等文件，它还能中止大量的反病毒软件进程并且会删除扩展名为gho的文件，该文件是一系统备份工具GHOST的备份文件，使用户的系统备份文件丢失。被感染的用户系统中所有.exe可执行文件全部被改成熊猫举着三根香的模样。

1:拷贝文件

病毒运行后,会把自己拷贝到C:\WINDOWS\System32\Drivers\spoclsv.exe

2:添加注册表自启动

病毒会添加自启动项HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run svcshare -> C:\WINDOWS\System32\Drivers\spoclsv.exe

3:病毒行为

a:每隔1秒寻找桌面窗口,并关闭窗口标题中含有以下字符的程序：

QQKav、QQAV、防火墙、进程、VirusScan、网镖、杀毒、毒霸、瑞星、江民、黄山IE、超级兔子、优化大师、木马克星、木马清道夫、QQ病毒、注册表编辑器、系统配置实用程序、卡巴斯基反病毒、Symantec AntiVirus、Duba、esteem proces、绿鹰PC、密码防盗、噬菌体、木马辅助查找器、System Safety Monitor、Wrapped gift Killer、Winsock Expert、游戏木马检测大师、msctls_statusbar32、pjf(ustc)、IceSword

并使用的键盘映射的方法关闭安全软件IceSword

添加注册表使自己自启动 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run svcshare -> C:\WINDOWS\System32\Drivers\spoclsv.exe

并中止系统中以下的进程:

Mcshield.exe、VsTskMgr.exe、naPrdMgr.exe、UpdaterUI.exe、TBMon.exe、scan32.exe、Ravmond.exe、CCenter.exe、RavTask.exe、Rav.exe、Ravmon.exe、RavmonD.exe、RavStub.exe、KVXP.kxp、kvMonXP.kxp、KVCenter.kxp、KVSrvXP.exe、KRegEx.exe、UIHost.exe、TrojDie.kxp、FrogAgent.exe、Logo1_.exe、Logo_1.exe、Rundl132.exe

b:每隔18秒点击病毒作者指定的网页,并用命令行检查系统中是否存在共享，共存在的话就运行net share命令关闭admin$共享

c:每隔10秒下载病毒作者指定的文件,并用命令行检查系统中是否存在共享，共存在的话就运行net share命令关闭admin$共享

d:每隔6秒删除安全软件在注册表中的键值

并修改以下值不显示隐藏文件 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL CheckedValue -> 0x00

删除以下服务:

navapsvc、wscsvc、KPfwSvc、SNDSrvc、ccProxy、ccEvtMgr、ccSetMgr、SPBBCSvc、Symantec Core LC、NPFMntor MskService、FireSvc

e:感染文件

病毒会感染扩展名为exe,pif,com,src的文件,把自己附加到文件的头部，并在扩展名为htm,html, asp,php,jsp,aspx的文件中添加一网址，用户一但打开了该文件，IE就会不断的在后台点击写入的网址，达到增加点击量的目的,但病毒不会感染以下文件夹名中的文件：

WINDOW、Winnt、System Volume Information、Recycled、Windows NT、WindowsUpdate、Windows Media Player、Outlook Express、Internet Explorer、NetMeeting、Common Files、ComPlus Applications、Messenger、InstallShield Installation Information、MSN、Microsoft Frontpage、Movie Maker、MSN Gamin Zone

g:删除文件

病毒会删除扩展名为gho的文件，该文件是一系统备份工具GHOST的备份文件使用户的系统备份文件丢失。

可能是杀毒软件公司！
尤其是那些出专杀的
呵呵~~