病毒概況

• 中文：熊貓燒香（又稱武漢男生）
• 英文：Worm.WhBoy
• 變種：已超過 50 種
• 典型徵兆：.exe 圖示變為點香熊貓（部分變種已更換圖示），感染 htm/html/asp/php/jsp/aspx 等網頁檔，瀏覽即中毒。

釋放典型檔案

• 分區根目錄：setup.exe、autorun.inf、%System%\Fuckjacks.exe、%System%\Drivers\spoclsv.exe
• 區域網路：GameSetup.exe

核心行為

1. 刪除主流防毒軟體啟動項/服務，終止進程（幾乎覆蓋所有主流防毒）。
2. 終止安全輔助工具（IceSword、任務管理器等）。
3. 終止維金相關進程。
4. 弱口令破解區域網路 Administrator，以 GameSetup.exe 擴散。
5. 修改登錄檔隱藏檔案/系統檔案顯示設定。
6. 感染 .exe/.com/.gho/.pif/.scr（排除系統目錄），刪除 .gho 備份檔。

解決方案

1. 首選專殺工具

下載專殺（官方網站：www.xiongmaoshaoxiang.com），掃描清除已知變種。缺點：新變種需更新專殺。

2. 線上掃毒（繞過本地防毒被終止）

病毒不感染 IE，利用瀏覽器載入線上掃毒控件（如 shadu.duba.net）清除，效果顯著。

3. 手動深度清除（配合專殺）

1. 專殺掃描兩遍（不同原理互補），修復被感染 EXE。
2. 搜尋並批次刪除 *.htm, *.html, *.php, *.asp, *.jsp, *.aspx（命令列：del X:*.htm /f/s/q/a，X 為盤符）。注意：若有重要網頁檔需用 Dreamweaver 修復原始碼而非批次刪除。
3. 進入 System Volume Information（若隱藏，登錄檔 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue = 1），刪除 change.log 以外所有檔案（重開機會再生，專殺常漏掉）。
4. 清除登錄檔啟動項 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 所有鍵值。
5. 批次刪除殘留 desktop_.ini（del X:*.desktop_.ini /f/s/q/a）。

操作鐵律

• 全程斷網操作。
• 勿直接雙擊任何分區。
• 除專殺外，勿執行任何 .exe/.rar。
• 若任務管理器/註冊表無法開啟，建議重灌系統再殺毒（系統已開後門，難徹底清除）。

補充

• .gho 映像被刪可嘗試 EasyRecovery 恢復（前提無大量寫入）。
• 作者研發批次腳本自動化清除中（原文連結已失效）。