TGFC Lifestyle - Powered by Discuz! Board

标题: [电脑] 独家:熊猫烧香来源追查,从病毒行为中揭开冰山一角![图] [打印本页]

作者: sarion 时间: 2007-1-25 18:07 标题: 独家:熊猫烧香来源追查,从病毒行为中揭开冰山一角![图]

Whboy(武汉男生)在98时代是很有名的国内病毒制造者,和广外女生相对,后来和同时代人销声匿迹.
最近又有多个病毒流氓都代码里写着WhBOY,包括大名鼎鼎的熊猫烧香,流氓软件51VC,以及一些QQ/传奇密码盗窃木马,这些木马的代码、传播/爆发手法都极为相似,应该是同一人所为,但是不是早年的武汉男生,还很难说.我们把视线移到一个不起眼的站点上,在这里,我们可以找到一些答案...
VC 域名是国家顶级域名.属于圣文森特和格林纳丁斯. 位于东加勒比海向风群岛中,在巴巴多斯以西约160公里处.由主岛圣文森特和格林纳丁斯岛等组成,为火山岛国.51.vc的网站上写着ICP证是:鲁 ICP证005248号.这是一个伪造的ICP证,通过百度可以查到另一个网站www.51pm.org也是使用了这个伪造的ICP证该网站已不能访问, 但可以通过百度快照看到站点,其内容和51.vc完全一样
剩下的事就是找到51.vc或51pm.org注册者,就知道这些病毒的作者/幕后指使究竟是什么人了

臭名昭著的熊猫烧香俗称"武汉男生"

这是最近的51VC反汇编,很明显,他们之间脱离不了干系

以下是流氓软件51.vc的相关动作,与熊猫烧香的行为几乎如出一辙.
1.针对查杀熊猫最猛烈的超级巡警
2.同样的文件名(GameSetup.exe)，这点很明显，感染熊猫的共享木马下必有这个文件，杀软报的也就这个
3.猜解字典一样
4.Autorun模式一样

每隔2秒改写一次主页:www.51.vc
每隔6秒关闭以下服务:
Schedule
sharedaccess
RsCCenter
RsRavMon
KVWSC
KVSrvXP
kavsvc
AVP
McAfeeFramework
McShield
McTaskManager
删除以下注册表:
SOFTWARE/Microsoft/Windows/CurrentVersion/Run/RavTask
SOFTWARE/Microsoft/Windows/CurrentVersion/Run/KvMonXP
SOFTWARE/Microsoft/Windows/CurrentVersion/Run/kav
SOFTWARE/Microsoft/Windows/CurrentVersion/Run/KAVPersonal50
SOFTWARE/Microsoft/Windows/CurrentVersion/Run/McAfeeUpdaterUI
SOFTWARE/Microsoft/Windows/CurrentVersion/Run/Network Associates Error Reporting Service
SOFTWARE/Microsoft/Windows/CurrentVersion/Run/ShStatEXE
SOFTWARE/Microsoft/Windows/CurrentVersion/Run/YLive.exe( :D)
SOFTWARE/Microsoft/Windows/CurrentVersion/Run/yassistse
停止并删除以下服务:
RsCCenter
RsRavMon
KVWSC
KVSrvXP
AVP
kavsvc
McAfeeFramework
McShield
McTaskManager
navapsvc
wscsvc
KPfwSvc
SNDSrvc
ccProxy
ccEvtMgr
ccSetMgr
SPBBCSvc
Symantec Core LC
NPFMntor
MskService
FireSvc
每隔20分钟弹出IE，地址:www.51.vc
创建线程，关闭以下窗口:
VirusScan
NOD32
系统配置实用程序
Symantec AntiVirus
Windows 任务管理器
esteem procs
System Safety Monitor
System Repair Engineer
Wrapped gift Killer
Winsock Expert
游戏木马检测大师
超级巡警
pjf(ustc)
msctls_statusbar32
IceSword
天网防火墙
进程
网镖
杀毒
毒霸
瑞星
木马清道夫
注册表编辑器
Duba
卡巴斯基反病毒
绿鹰PC
木马辅助查找器
噬菌体
密码防盗
超级兔子
黄山IE
木馬清道夫
关闭以下程序:
Mcshieid.exe
VsTskMgr.exe
naPrdMgr.exe
UpdaterUI.exe
TBMon.exe
scan32.exe
Ravmond.exe
CCenter.exe
RavTask.exe
Rav.exe
Ravmon.exe
RavmonD.exe
RavStub.exe
KVXP.kxp
KvMonXP.kxp
KVCenter.kxp
KVSrvXP.exe
KRegEx.exe
UIHost.exe
TrojDie.kxp
FrogAgent.exe
Logo1_.exe
Logo_1.exe
Rundl132.exe
使用以下弱密码探测共享并试图传自己为GameSetup.exe过去:
password
1234
6969
harley
123456
golf
pussy
mustang
1111
shadow
1313
fish
5150
7777
qwerty
baseball
2112
letmein
12345678
12345
ccc
admin
5201314
qq520
1
12
123
1234567
123456789
654321
54321
111
000000
abc
pw
11111111
88888888
pass
passwd
database
abcd
abc123
sybase
123qwe
server
computer
520
super
123asd
0
ihavenopass
godblessyou
enable
xp
2002
2003
2600
alpha
110
111111
121212
123123
1234qwer
123abc
007
a
aaa
patrick
pat
administrator
root
sex
god
foobar
secret
test
test123
temp
temp
win
pc
asdf
qwer
yxcv
zxcv
home
xxx
owner
login
Login
pw123
love
mypc
mypc123
admin123
mypass
mypass123
901100
Administrator
Guest
admin
Root

把自己复制到:
/Documents and Settings/All Users/「开始」菜单/程序/启动/
/Documents and Settings/All Users/Start Menu/Programs/Startup/
/WINDOWS/Start Menu/Programs/Startup/
/WINNT/Profiles/All Users/Start Menu/Programs/Startup/
连接:
http://www.ac86.cn/88/down/up.txt 其中包括熊猫烧香
http://update.whboy.net/ie.txt 已无法访问
下载文件中的病毒程序

每隔8秒死循环访问如下网站:
tom.com
163.com
souhu.com
google.com
yahoo.com

每隔6秒向各盘根目录下释放如下文件
autorun.inf
内容:
[AutoRun]
OPEN=setup.exe
shellexecute=setup.exe
shell/Auto/command=setup.exe
setup.exe(自己的安装exe)

作者: 猫猫猫 时间: 2007-1-25 18:32

我知道whboy常年在TG水区活动...

作者: 极品飞猪 时间: 2007-1-25 18:35

真想让网吧的电脑也中一次熊猫

作者: abrina 时间: 2007-1-25 20:37

最近确实不少人中这病毒啊

作者: 比卡丘 时间: 2007-1-25 20:40

没有关闭360safe..

作者: 凌羽飞飞 时间: 2007-1-25 20:52

真不理解这些孜孜不倦编写病毒的人心理和目的是什莫

作者: Jeffrey 时间: 2007-1-25 23:25

wuhanboy不是水区的么……

作者: 鲜奶杯 时间: 2007-1-25 23:29

这个主要传播途径是啥，一直没弄明白，不过也不敢亲自去试，发作后太恶毒了~~~

作者: 化骨绵掌 时间: 2007-1-25 23:30

最近裸奔中……怕怕~~

作者: shixn 时间: 2007-1-25 23:34

这种人抓起来能判刑吧

作者: qiqidudu 时间: 2007-1-25 23:36

病毒太厉害了

作者: realzeus 时间: 2007-1-26 00:00

编这病毒肯定是个TGFCER，要不然怎么能一连跟两个TG的名人串一块

作者: 久多良木健 时间: 2007-1-26 00:42

引用:

原帖由 鲜奶杯 于 2007-1-25 23:29 发表
这个主要传播途径是啥，一直没弄明白，不过也不敢亲自去试，发作后太恶毒了~~~

很多，而且非常智能，脱离了寻常病毒双击exe运行才会中毒的常规思维，感染进程中所有exe，html文件，之后双击任何一个exe，html都会中，盘符下生成ini文件，windows双击默认是autorun，于是又中。上周我中的原因是别人拿个mp3来考歌……windows的可移动磁盘autorun
现在把autorun全部关闭

作者: 上海恐龙 时间: 2007-1-26 10:43

Windows无视

Mac裸奔最高！

作者: Kuzuryuusen 时间: 2007-1-26 12:19

冰山是啥？这帖的结论是啥？

作者: rjx0905 时间: 2007-1-26 12:34

引用:

原帖由 猫猫猫 于 2007-1-25 18:32 发表
我知道whboy常年在TG水区活动...

我也知道！为什么我的机器裸奔至今也没有中到熊猫病毒？

作者: wuhanman 时间: 2007-1-26 12:41

引用:

原帖由 rjx0905 于 2007-1-26 12:34 发表

我也知道！为什么我的机器裸奔至今也没有中到熊猫病毒？

因为跟你没爱。

请不想感染病毒的朋友把ID留下，下次更新时，可以有效避开你们的电脑。

作者: sceic 时间: 2007-1-26 13:28

都忘了诸如瑞星一类的杀毒软件可以通过引导盘进入linux环境查毒的功能了吗。。。

作者: 木鱼阳光 时间: 2007-1-26 13:53

引用:

原帖由 wuhanman 于 2007-1-26 12:41 发表

因为跟你没爱。

请不想感染病毒的朋友把ID留下，下次更新时，可以有效避开你们的电脑。

作者: DEXTER 时间: 2007-1-26 14:07

引用:

原帖由 wuhanman 于 2007-1-26 12:41 发表

因为跟你没爱。

请不想感染病毒的朋友把ID留下，下次更新时，可以有效避开你们的电脑。

大神。。。

作者: 妫掓纭お閮 时间: 2007-1-26 14:29

改用Mac吧~

作者: 久多良木健 时间: 2007-1-26 20:40

引用:

原帖由 棒棒硬太郎 于 2007-1-26 14:29 发表
改用Mac吧~

mac的情况是这样，要么不中，一旦中了就根本没办法解决，要么花钱买正版杀毒的要么格式化:D 那种免费的专杀工具，各种手工去除的方法是没有滴

作者: tank149510 时间: 2007-1-26 23:29

引用:

原帖由 wuhanman 于 2007-1-26 12:41 发表

因为跟你没爱。

请不想感染病毒的朋友把ID留下，下次更新时，可以有效避开你们的电脑。

大家要博爱……

作者: equal 时间: 2007-1-27 08:58

要十分小心鸟

欢迎光临 TGFC Lifestyle (http://tgfcer.com/)