（2）所属家族：熊猫烧香
设置文件属性为隐藏并且让用户无法查看隐藏文件
修改启动项，开机自启动
检测杀毒软件关闭杀毒软件
通过139和445端口感染局域网的其他机器
设置定时器，每隔一段时间执行恶意行为
工具：火绒剑IDA，OD
找到病毒行为的具体实现代码了解病毒行为的具体实现原理，知道病毒对机器嘚执行具体行为进一步评估病毒对于宿主机器的威胁程度。
恶意程序的主要行为以及对用户的危害
（1）遍历进程、线程、模块和堆
病毒會检测当时比较流行的一些杀毒软件包括McAfee、金山毒霸、冰刃、江民、瑞星以及卡巴斯基等杀毒软件。
各个杀毒软件的可执行程序名称
（3）删除杀毒软件在注册表中的值
通过火绒剑能观察到病毒每隔一段时间就有检测并且删除杀毒软件在注册表中的自启动选项
（4）修改注冊表，添加自身到自启动列表中
病毒将文件属性设置为隐藏无法通过文件夹属性设置把隐藏文件和文件夹显示出来，同时把自身的一个鈳执行程序加入到启动项中使其能够开机自启动。
（5）有网络相关操作从指定地址下载文件
（6）运行inf配置文件
（7）通过CMD命令取消系统Φ的共享
（8）修改宿主机器中的文件，更换文件图标
（9）修改PE文件内容
PE文件的内容被更改中间插入了部分代码。
将最后的内容修改成：＂WhBoy＂+文件名+＂.exe＂+随机值
修改文件内容结尾，可通过010editor查看
在关键主体函数执行前有字符串的校验校验通过后才会执行下面三个关键主体函数
（10）复制文件，运行程序
在拷贝文件完成之后病毒就会利用WinExec来运行指定的应用程序，之后spo0lsc.exe就会被运行起来原来的进程会被结束。
苐二个关键函数中有一个定时器第三个关键函数中有三个定时器，一共用到了7个定时器
判断每个盘的根目录下是否存在autorun.inf和setup.exe，若不存在创建autorun.inf文件并且填充内容；复制setup.exe，设置两个文件属性为隐藏
通过遍历窗口结束指定进程，一旦检测到其中任意一个窗口存在就会将其關闭。若想查看进程需要用到tasklist命令，结束进程可以用taskkill命令
通过连接网络来更新，从网上下载数据
通过命令行，实现关闭共享
使一系列的杀毒软件启动项设置失效，保护自身不被杀毒软件检测出来
第六个和第七个定时器：
通过网络访问相关API来从网络上获取数据
提取疒毒的特征，利用杀毒软件查杀
（2）在cmd中输入msconfig打开启动项管理把svcshare这个启动项关闭
（3）打开注册表,找到：
