小白学分析——熊猫烧香分析报告【附pdf】

0x00 样本信息

名称：panda.exe
文件大小：60.50 KB (61952 bytes)
修改时间：2007.01.09
MD5：3520D3565273E41C9EEB04675D05DCA8
SHA-1：BB1D8FA7EE4E59844C1FEB7B27A73F9B47D36A0A
编写语言：Borland Delphi
壳：未加壳

0x01 分析工具和环境

CFF、PEiD、IDA Pro、OllyDbg、Process Moniter、PCHunter
Windows7 32位

0x02 病毒行为

1.修改.exe后缀文件图片为panda
2.禁止打开任务管理器等窗口
3.修改键值自启动，并隐藏。

4.删除杀毒软件的自启动键值

5.将自身拷贝到根目录，并命名为setup.exe，同时创建autorun.inf用于病毒的启动，这两个文件的属性都是“隐藏”。
病毒文件在“C:WINDOWSsystem32drivers”中创建了“spoclsv.exe”这个文件，在C盘根目录下创 建了“setup.exe”与“autorun.inf”，并且在一些目录中创建了“Desktop_.ini”这个文件。创建这些文件之后就对注册 表的SHOWALL项进行了设置，使得隐藏文件无法显示。

0x03 详细分析

查壳，无壳，编写语言为Borland Delphi。

程序最开始进行一些字符串拷贝的初始化行为。