熊猫烧香病毒应急响应实战手册：5步精准排查与3类关键注册表修复

2007年那个被熊猫图案支配的冬天，许多运维人员的噩梦从.exe文件突然变成举着三炷香的熊猫图标开始。这个被称为"熊猫烧香"的蠕虫病毒以其独特的破坏方式和传播能力，给国内网络安全领域上了深刻的一课。虽然从现代技术角度看其实现手法已不复杂，但其中运用的多线程感染、注册表篡改、自启动维持等技巧，至今仍是恶意软件的典型攻击范式。

1. 应急响应前的环境准备

在开始排查前，需要创建一个安全的分析环境。建议使用物理隔离的专用分析机，配置如下环境：

# 创建隔离的分析目录结构 mkdir -p /malware_analysis/{logs,samples,tools,reports}

必备工具清单：

注意：所有工具应从官方渠道获取校验过的版本，避免使用可能被感染的U盘传播工具

典型感染症状快速识别：

• 所有.exe文件图标变为熊猫烧香图案
• 系统根目录出现Desktop_.ini和autorun.inf文件
• 安全软件进程异常退出
• 注册表编辑器(regedit)无法正常运行

2. 五步排查决策树

2.1 进程行为分析

使用Process Monitor设置过滤规则捕获可疑活动：

1. 启动Process Monitor后立即启用后台日志
2. 设置进程名称过滤条件：

   Process Name is spo0lsv.exe OR Process Name contains panda OR Process Name is setup.exe

3. 重点关注以下操作类型：
   • 注册表键值修改（RegSetValue）
   • 文件创建（File Create）
   • 进程创建（Process Create）

典型恶意行为特征：

spo0lsv.exe | RegSetValue | HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run | 路径指向病毒体 spo0lsv.exe | File Create | C:\Windows\system32\drivers\spo0lsv.exe cmd.exe | Process Create | 执行del /f /q *.gho

2.2 注册表关键项检查

必须检查的三类注册表项及其修复方法：

自启动项（优先级：紧急）

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] "svcshare" = "%SystemRoot%\system32\drivers\spo0lsv.exe" [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "svcshare" = "%SystemRoot%\system32\drivers\spo0lsv.exe"

修复命令：

Remove-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run" -Name "svcshare" -Force Remove-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" -Name "svcshare" -Force

文件隐藏设置（优先级：高）

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL] "CheckedValue" = dword:00000000

修复命令：

reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL" /v CheckedValue /t REG_DWORD /d 1 /f

安全软件禁用项（优先级：严重）

检查以下服务是否被删除：

Get-Service | Where-Object { $_.Name -match "^(avp|kav|nod32|rising)" }

重建服务示例（以卡巴斯基为例）：

sc create AVP start= auto binPath= "C:\Program Files\Kaspersky Lab\avp.exe"

2.3 文件系统痕迹定位

病毒常驻文件位置：

C:\Windows\system32\drivers\spo0lsv.exe C:\Windows\system32\spo0lsv.dll 各分区根目录下的autorun.inf和setup.exe

使用以下命令搜索感染文件：

Get-ChildItem -Path C:\ -Recurse -Force -Include "spo0lsv.*","Desktop_.ini" -ErrorAction SilentlyContinue

2.4 网络行为分析

使用Wireshark捕获异常流量时，重点关注：

• 对局域网139/445端口的扫描行为
• 与下列IP的通信（历史C2服务器）：

  58.211.7.* 121.12.117.*

过滤规则示例：

tcp.port == 445 or tcp.port == 139 or ip.addr == 58.211.7.0/24 or ip.addr == 121.12.117.0/24

2.5 持久化机制排查

检查计划任务：

Get-ScheduledTask | Where-Object { $_.TaskName -match "svc|update|config" }

查看WMI持久化：

Get-WmiObject -Namespace root\Subscription -Class __EventFilter Get-WmiObject -Namespace root\Subscription -Class __FilterToConsumerBinding

3. 注册表深度修复方案

3.1 自启动项全面清理

执行以下批处理脚本清除常见自启动位置：

@echo off reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v svcshare /f reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v svcshare /f reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce" /v svcshare /f reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run" /v svcshare /f

3.2 文件显示设置修复

创建注册表修复文件show_hidden.reg：

Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL] "CheckedValue"=dword:00000001 "DefaultValue"=dword:00000002 "Text"="@shell32.dll,-30500" "Type"="radio" "HKeyRoot"=dword:80000001 "RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced" "ValueName"="Hidden"

3.3 安全软件防护恢复

重建安全软件相关注册表项模板：

# 以360安全卫士为例 $regPath = "HKLM:\SOFTWARE\360Safe" if (!(Test-Path $regPath)) { New-Item -Path $regPath -Force | Out-Null New-ItemProperty -Path $regPath -Name "InstallPath" -Value "C:\Program Files\360\360Safe" -PropertyType String -Force New-ItemProperty -Path $regPath -Name "Version" -Value "10.0.0.1001" -PropertyType String -Force }

4. 文件系统恢复技巧

4.1 GHO备份文件恢复

使用photorec进行文件恢复的基本流程：

photorec /d recovered_files /cmd *.gho all

4.2 感染文件修复

编写Python脚本识别被感染文件特征：

import pefile def is_infected(filepath): try: pe = pefile.PE(filepath) for section in pe.sections: if b'WhBoy' in section.Name: return True except: pass return False

4.3 隐藏文件强制显示

使用attrib命令批量恢复：

for /r %i in (*) do attrib -s -h "%i"

5. 防御加固与后续监控

5.1 系统加固措施

1. 关闭不必要的网络共享：

   Set-SmbServerConfiguration -AnnounceServer $false -Force Stop-Service LanmanServer -Force Set-Service LanmanServer -StartupType Disabled

2. 增强账户策略：

   net accounts /minpwlen:12 net accounts /maxpwage:30

5.2 持续监控方案

部署Sysmon的配置示例（监控关键行为）：

<Sysmon schemaversion="4.90"> <EventFiltering> <!-- 监控进程创建 --> <ProcessCreate onmatch="include"> <Image condition="contains">spo0lsv.exe</Image> </ProcessCreate> <!-- 监控注册表修改 --> <RegistryEvent onmatch="include"> <TargetObject condition="contains">\Run\</TargetObject> </RegistryEvent> </EventFiltering> </Sysmon>

在真实环境中处理熊猫烧香感染时，最深的体会是：病毒的每个行为都像精心设计的多米诺骨牌，从自启动到文件感染再到防御破坏，环环相扣。有次清理后疏忽了一个计划任务项，三天后系统再次被感染。这提醒我们，应急响应不是简单的杀毒过程，而是与攻击者的系统性对抗