编者注：近期“熊猫烧香”病毒在互联网上疯狂肆虐，使得数以万计用户的电脑遭殃。为此，斑马网特组织技术人员对此病毒进行深度剖析，结果却令我们大吃一惊：
 
　　最近熊猫烧香木马扫荡网络制造麻烦，谈之色变，熊猫烧香木马病毒变种比较多，江湖传闻熊猫烧香有30种变种，杀毒软件比如Norton可以杀死熊猫烧香的一个变种，可是无法捣毁的熊猫烧香的源头，就是熊猫烧香的服务端。无论它有多少种，它最终的源头数量是有限，那就是熊猫烧香的服务端，直接捣毁它的老巢，来个釜底抽薪。网游保镖就可以做到釜底抽薪，直捣熊猫老巢。

　　下面简单分析一下熊猫烧香的目前比较盛行的这一版熊猫烧香是怎样入侵你的PC，我手里的有个叫GameSetup.exe或者spo0lsv.exe的30多K的exe，被捆绑到一些游戏插件中，这时GameSetup.exe被启动，如果没有安装网游保镖，那你就中招了。

　　我那时是使用旧版的网游保镖，没有熊猫烧香病毒库，但是网游保镖监控程序告诉我有个程序要访问网络，当时也不知道是木马，我允许了。

　　发现任务管理器的资源被一个程序疯狂的占用，游保镖日志栏目看，你会发现你的Web日志和IP日志栏目有个sppoolsv.exe（熊猫烧香木马释放出来的一个文件）程序疯狂访问网络，查找并感染其他局域网机器。

   我们先用网游保镖看看熊猫烧香木马访问IP日志截图，从中你可以看出它在试图访问局域网其他机器，“熊猫烧香”是一个感染型的蠕虫病毒，它能感染系统中exe、com、pif、src、html、asp等文件，被感染的用户系统中所有.exe可执行文件全部被改成熊猫举着三根香的模样：

　　我们从中可以看出，Sppoolsv.exe木马程序访问的172.16.*.*的机器全部是局域网，在这个截图中， 202.108.9.39， 61.135.179.147和69.147.114.210是其他外网地址， 这些外网地址是其他网站地址，并不是木马，目前尚不清楚该木马为什么还要访问www.google.cn, www.tom.com, www.163.com等等一些大的网站，难道是在众多URL中伪装自己在混杂种保护它的真正老巢吗，不知道，我们再看看网游保镖的Web日志：

　　注意看Web日志里的这几个文件，这几个是木马下载下来真正做坏事的东西，我在任务管理器里可以看到全部被运行起来，并拷贝至系统目录或临时目录里。

　　http://www.feifeicqq.com/hackicq/icq.txt
　　http://www.feifeicqq.com/nur/gf02/asp/deverticp.exe
　　http://www.feifeicqq.com/nur/mh/main.exe
　　http://www.feifeicqq.com/nur/zt/zain.exe
　　http://www.feifeicqq.com/nur/jh/jain.exe
　　http://www.feifeicqq.com/nur/moyo/zmyn.exe
　　http://www.feifeicqq.com/gmm/gmm.exe
　　http://www.feifeicqq.com/hot/cs.exe
　　http://www.feifeicqq.com/hot/dewa.exe
　　http://www.feifeicqq.com/hot/hgz.exe

　　(装上网游保镖后在用户机器的\Local Settings\Application Data\BanMa\OGG\logs目录里能看到这些URL的IP地址是221.231.140.227)

　　在Web日志里的后几页里还有这一个文件，这个URL就更有意思了http://www.541792.com居然敢模仿百度，你打开这个URL居然是百度，又想伪装自己，并伺机下载木马病毒文件，就是这么欺负用户是小白吗，你太残忍了吧。

　　http://www.541792.com/01/2.exe
　　该URL的IP地址是60.169.1.178，并非百度。

　　普通用户在熊猫烧香木马访问的众多URL中确实很难留意哪些是它真正老巢URL，难道他频繁访问www.sohu.com, www,sina.com.cn, www.google.cn，www.163.com就是为了把自己宿主URL放在众多用户信任的中吗，就如同一个坏蛋钻到人群中，警察很难把他揪出来一个道理，我想木马作者是这样想的，很变态。但是有句俗语说得好“再狡猾的狐狸，也难逃猎人的眼睛”。

　　“熊猫烧香”是一个感染型的蠕虫病毒，它能感染系统中exe、com、pif、src、html、asp等文件，被感染的用户系统中所有.exe可执行文件全部被改成熊猫举着三根香的模样。

　　不但可以对用户系统进行破坏，导致大量应用软件无法使用，而且还可删除扩展名为gho的所有文件，造成用户的系统备份文件丢失，从而无法进行系统恢复；同时该病毒还能终止大量反病毒软件进程，大大降低用户系统的安全性。

　　说的简单些，这个熊猫烧香木马，利用传奇游戏插件，然后种上木马种子，真是盗号程序在服务端，种子通过80端口会把这些exe都下载下来，熊猫烧香不光是木马还是那种感染型的蠕虫病毒，将游戏账户密码盗下来后，传送到它的老巢，然后他们再游戏玩家的装备再高价贩卖出去，真是无本万利的买卖。

　　现在让我们揭开熊猫烧香这个木马老巢的面纱，如果你是传奇网游的用户，保准你看了会吓一跳.打开 http://www.feifeicqq.com/zb.html ，看到了什么呢，这是专门盗装备，然后再卖装备的团伙，一帮土匪呀，呵呵，竟然在URL中还敢用HackICQ， Hacker ICQ的意思吗，真是一嚣张的黑客呀。你真牛，我佩服你。看看一把传奇的“开天剑”卖200元人民币，真黑。

 

　　不光把玩家的游戏账户给盗了，还要整垮你的PC，如果你是在公司局域网或在网吧，它还要感染其他用户继续破坏，杀毒软件可以杀它的一个变种，但驾不住这个变态老变，只要的它的老巢在，你就玩不死它，杀了它不是，我再来一变种继续祸害网络环境，不管你是不是游戏用户，我通吃，你没有账号，我搞掉你机器。

　　如果你的网游保镖软件不是最新版，有手动防范这种病毒方法: 对付这种变态木马病毒，光靠杀毒软件不够，还要使用网游保镖直接捣毁它的老巢，来个釜底抽薪。使用网游保镖把这些URL和IP加到黑名单, 阻止下载下载这些关键的程序，它就不能继续作恶。

　　http://www.feifeicqq.com/hackicq/icq.txt
　　http://www.feifeicqq.com/nur/gf02/asp/deverticp.exe
　　http://www.feifeicqq.com/nur/mh/main.exe
　　http://www.feifeicqq.com/nur/zt/zain.exe
　　http://www.feifeicqq.com/nur/jh/jain.exe
　　http://www.feifeicqq.com/nur/moyo/zmyn.exe
　　http://www.feifeicqq.com/gmm/gmm.exe
　　http://www.feifeicqq.com/hot/cs.exe
　　http://www.feifeicqq.com/hot/dewa.exe
　　http://www.feifeicqq.com/hot/hgz.exe
　　http://www.541792.com/01/2.exe

   IP:
　　221.231.140.227
　　60.169.1.178

　　这样做只是使你的电脑对熊猫烧香免疫，使你的电脑不会被种上这种木马兼病毒的变态蠕虫。如果你在装网游保镖之前已经被中了这种病毒了，那就赶紧杀毒吧。没有装网游保镖的用户快点装吧，可以有效防止熊猫烧香病毒。网游保镖下载地址：www.aq110.com