基本屬性

• 類型：感染型蠕蟲病毒
• 別名：武漢男生
• 感染對象：.exe、.com、.pif、.src、.html、.asp 等
• 反殺毒：終止大量防毒軟體進程，刪除 .gho 系統備份檔
• 視覺特徵：所有 .exe 圖示變為熊貓抱香圖示

詳細行為分析

1. 檔案植入

運行後自我複製至 C:\WINDOWS\System32\Drivers\spoclsv.exe。

2. 註冊表自啟動

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\svcshare → C:\WINDOWS\System32\Drivers\spoclsv.exe

3. 每秒掃描視窗標題，關閉安全軟體

關鍵字清單（節錄）：QQKav、QQAV、防火牆、進程、VirusScan、網鏢、殺毒、毒霸、瑞星、江民、黃山IE、超級兔子、優化大師、木馬克星、木馬清道夫、卡巴斯基、Symantec AntiVirus、Duba、IceSword 等。並以鍵盤映射強制關閉 IceSword。

4. 每 18 秒點擊指定網頁、檢查共享並關閉 admin$

5. 每 10 秒下載指定檔案、同樣關閉 admin$ 共享

6. 每 6 秒刪除安全軟體註冊鍵值

修改 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue = 0（隱藏系統檔案）。刪除服務：navapsvc、wscsvc、KPfwSvc、SNDSrvc、ccProxy、ccEvtMgr、ccSetMgr、SPBBCSvc、Symantec Core LC、NPFMntor、MskService、FireSvc 等。

7. 檔案感染機制

• 前綴感染：.exe/.pif/.com/.src 檔頭植入病毒本體。
• 網頁植入：.htm/.html/.asp/.php/.jsp/.aspx 末尾加入惡意 URL，瀏覽時 IE 後台點擊刷流量。
• 白名單目錄不感染：WINDOW、Winnt、System Volume Information、Recycled、Windows NT、WindowsUpdate、Windows Media Player、Outlook Express、Internet Explorer、NetMeeting、Common Files、ComPlus Applications、Messenger、InstallShield Installation Information、MSN、Microsoft Frontpage、Movie Maker、MSN Gamin Zone。

8. 刪除 .gho 備份檔

導致使用者無法用 Ghost 還原系統。

防禦啟示

病毒結合「感染型+蠕蟲+反殺毒+流量欺詐+破壞備份」多重功能，防禦需：

• 關閉自動播放、啟用 DEP/ASLR。
• 部署行為監控型端點防護（EDR），而非單純特徵碼。
• 定期離線備份 .gho 映像至唯讀介質。
• 網頁伺服器啟用 WAF、檔案完整性監控（FIM）。