什么是蠕虫病毒
蠕虫病毒是一种计算机病毒，其感染机制是通过网络、电子邮件和移动存储等进行复制和传播。比如危害极大的熊猫烧香病毒，就是一种蠕虫病毒。蠕虫程序主要通过系统漏洞传播，像生物蠕虫一样从一台计算机传播到另一台计算机。蠕虫传播的方式很多，所以蠕虫程序传播的非常快。
蠕虫入侵一台计算机后，首先获取其他计算机的IP地址，然后向这些计算机发送自己的副本。蠕虫还使用存储在受感染计算机的邮件客户端地址簿中的地址来传播程序。虽然有些蠕虫程序也会在被感染的计算机中生成文件，但一般来说，蠕虫程序只占用内部资源，不占用其他资源。
Worm由两部分组成，即主程序和引导程序。一旦主程序在机器上建立，它将收集与当前机器联网的其他机器的信息。它可以通过读取公共配置文件并运行显示当前在线状态信息的系统实用程序来实现这一点。然后，它试图通过使用上述缺陷在这些远程机器上构建其引导程序。
蠕虫程序驻留在一台或多台机器上，并具有自动重定位的能力。如果它检测到网络中的某台机器未被占用，它会向该机器发送一份自己的副本。每个程序段可以将自己的副本重新定位到另一台机器上，并识别它占用了哪台机器。
病毒名：熊猫烧香
熊猫烧香虫病毒
Worm.WhBoy(叫金山)，Worm.Nimaya(叫瑞星)
病毒别名： Nimya，武汉男学生，后来变成‘金猪报喜’，国外叫‘熊猫烧香’
危险等级：
病毒类型：蠕虫可以阻止大量的反病毒软件和防火墙软件进程。
影响系统：Win 9x/ME，Win 2000/NT，Win XP，Win 2003，Win Vista
2006年10月16日发现，
来源：中国武汉东湖高新技术开发区关山：
熊猫烧香也可以通过共享文件夹和系统弱密码来传播。
金山分析：这是一种传染性蠕虫，可以感染系统中的exe、com、pif、src、html、asp等文件，还可以挂起大量的杀毒软件进程
1份拷贝文件
病毒运行后，会自动复制到
c : \ WINDOWs \ System32 \ Drivers \ spoclsv . exe
2添加注册表自启动
病毒会添加自启动项目
HKEY _当前_用户\软件\微软\窗口\当前版本\运行
SVC share-c : \ WINDOWs \ System32 \ Drivers \ spoclsv . exe
3病毒行为
A:每1秒
找到桌面窗口，并关闭窗口标题中带有以下字符的程序
木马专杀工具
QQAV
防火墙
过程
病毒扫描
网镖
抗病毒素
Duba
上升的
姜敏
黄山IE
超级兔子
优化硕士
特洛伊木马克星
特洛伊木马清除程序
QQ病毒
注册表编辑器
microsoft系统配置
卡巴斯基反病毒软件
赛门铁克防病毒软件
Duba
尊重过程
吕颖个人电脑
密码防盗
噬菌体
特洛伊木马辅助查找器
系统安全监视器
包装好的礼物黑仔
Winsock专家
游戏木马检测高手
msctls_statusbar32
pjf(ustc)
冰剑
并使用键盘映射方法关闭安全软件冰刀
添加注册表来引导自身
HKEY _当前_用户\软件\微软\窗口\当前版本\运行
SVC share-c : \ WINDOWs \ System32 \ Drivers \ spoclsv . exe
并挂起系统：中的以下进程
Mcshield.exe
VsTskMgr.exe
naPrdMgr.exe
UpdaterUI.exe
TBMon.exe
scan32.exe
Ravmond.exe
CCenter.exe
RavTask.exe
Rav.exe
Ravmon.exe
RavmonD.exe
RavStub.exe
KVXP.kxp
kvMonXP.kxp
KVCenter.kxp
KVSrvXP.exe
KRegEx.exe
UIHost.exe
TrojDie.kxp
FrogAgent.exe
Logo1_。可执行程序的扩展名
Logo_1.exe
Rundl132.exe
B:每18秒
点击病毒作者指定的网页，
并使用命令行检查系统中是否有共享
如果共享存在，运行网络共享命令关闭管理$共享
C:每10秒
下载病毒作者指定的文件，
并使用命令行检查系统中是否有共享
如果共享存在，运行网络共享命令关闭管理$共享
D:每6秒
删除注册表中安全软件的键值
HKEY _ LOCAL _ MACHINE \ SOFTWARE \ Microsoft\Windows\CurrentVersion\Run
RavTask
KvMonXP
kav
KAVPersonal50
McAfeeUpdaterUI
Network Associates Error Reporting Service
ShStartEXE
YLive.exe
yassistse
并修改以下值不显示隐藏文件
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
CheckedValue -> 0x00
删除以下服务:
navapsvc
wscsvc
KPfwSvc
SNDSrvc
ccProxy
ccEvtMgr
ccSetMgr
SPBBCSvc
Symantec Core LC
NPFMntor
MskService
FireSvc
e:感染文件
病毒会感染扩展名为exe,pif,com,src的文件，把自己附加到文件的头部
并在扩展名为htm,html,asp,php,jsp,aspx的文件中添加一网址，
用户一但打开了该文件，IE就会不断的在后台点击写入的网址，达到
增加点击量的目的，但病毒不会感染以下文件夹名中的文件:
WINDOW
Winnt
System Volume Information
Recycled
Windows NT
WindowsUpdate
Windows Media Player
Outlook Express
Internet Explorer
NetMeeting
Common Files
ComPlus Applications
Messenger
InstallShield Installation Information
MSN
Microsoft Frontpage
Movie Maker
MSN Gamin Zone
g:删除文件
病毒会删除扩展名为gho的文件，该文件是一系统备份工具GHOST的备份文件
使用户的系统备份文件丢失.
瑞星最新病毒分析报告:”Nimaya(熊猫烧香)”
这是一个传染型的DownLoad 使用Delphi编写
