“熊猫烧香”被侦破前后--当事人用qq群卖病毒 -- 中国仙桃网

“熊猫烧香”被侦破前后--当事人用qq群卖病毒
来源:楚天都市报 日期: 2007-2-14 10:26:16 发送:发送给好友
记者李波涛 吴昌华 通讯员雷剑锋 陈明
●办理第二代身份证发现“熊猫烧香”
今年元月，仙桃市龙华山办事处居民，前来龙华山派出所办理第二代身份证时，民警发现办理第二代身份证所用的计算机已中毒，即使杀了毒，随后恢复原貌。紧接着，该局部分办公计算机，也因中了“熊猫烧香”病毒而瘫痪。
与此同时，该市公安局网监大队接到仙桃市江汉热线信息中心报案称，该网站的中心服务器大面积中了“熊猫烧香”病毒。
经过查证有关资料，该市公安局网监部门发现，自去年12月以来，“熊猫烧香”病毒已在互联网上大面积传播，致使大量个人用户、局域网用户、网吧遭受感染，损失惨重。
有关数据显示，被“熊猫烧香”病毒感染中毒的电脑，有50万台以上，数百万网民深受其害。
“瑞星2006安全报告”，将“熊猫烧香”列为10大病毒之首，“2006年度中国大陆地区电脑病毒疫情和互联网安全报告”的10大病毒排行中，该病毒一举成为“毒王”。
1月22日，仙桃市公安局正式立案侦查，定名为“1.22”案件。
●“熊猫烧香”与“武汉男孩”十分相似
昨日，仙桃市公安局副局长叶铁官介绍，立案后，该市网监部门发现：“熊猫烧香”病毒是一个感染型蠕虫病毒，能够感染系统中exe、pif，src、html、asp等文件，中止大量的反病毒软件和防火墙软件进程，并且会尝试读取特定网站上的下载文件列表，通过网页浏览、局域网共享等多种途径快速传播。
另外，被感染的计算机，会出现蓝屏、频繁重启，以及系统硬盘中数据文件被破坏、被删除等现象。被感染的用户系统中所有的exe文件，全部被改成熊猫举着三根香的模样。
根据病毒的感染和传播特性分析，该局网监部门推测：“熊猫烧香”病毒系一个团队或是一个人编写；或是一人编译，多人再传播。
国家计算机病毒应急处理中心及网上相关信息显示：“熊猫烧香”计算机病毒程序中，都有“whboy”、“武汉男孩”的签名。
专案组人员分析，拥有全部病毒代码的人，应该是武汉人，很可能与2005年爆发的“武汉男孩”、“QQ尾巴”等木马有很大关联。
因此，专案组将“武汉男孩”列为重大犯罪嫌疑人，开展针对性的调查。
●佯装购买杀毒软件钓出“武汉男孩”
1月31日，在省公安厅网监总队的指挥协调下，成立了由省网监总队长黄树海挂帅，以仙桃网监大队为侦查主体，武汉、宜昌、荆门等地网络专家参与的“1.22”专案组。
2月1日，专案组通过调查走访，查明“武汉男孩”与另2人共同租住在武汉市洪山区。专案侦查员在武汉佯装购买杀毒软件，钓出了一名出售者。
专案民警分析：这名出售者就是“武汉男孩”，理由是：如果不是他，不可能有此病毒专杀软件。
后经侦查，“武汉男孩”叫李俊，男，25岁，武汉市新洲区阳逻街人。此人对电脑比较精通。
2月2日，民警张良耀、刘杰等人对李俊租住处，实施24小时监控。当日下午，专案民警研究实施抓捕行动，制定了抓捕方案和审讯方案。
2月3日，专案组通过种种迹象分析，“武汉男孩”有可能要外逃。抓捕行动须提前进行。
3日晚8时40分，守候在出租屋内的仙桃网监大队民警，将回到出租屋取东西的李俊抓获，并对出租屋进行了勘验。
经突审，李俊交代，“熊猫烧香”病毒系他所写，病毒源代码在他与雷磊居住的某宾馆房间的硬盘内，并承认有一份源代码给了雷磊（男，25岁，武汉新洲区阳逻镇长山村人，系李俊的同学）。
专案民警立即出击，将准备外逃的雷磊抓获，并提取了笔记本电脑、硬盘等物品。国家计算机病毒应急处理中心对提取的源码进行鉴定，认定该源码为“熊猫烧香”病毒源码。
●通过QQ群出售“熊猫烧香”病毒
去年9月，李俊在武汉某电脑学校学习软件开发时，就开始制作“熊猫烧香”病毒。10月，李俊毕业后，在武汉洪山区租了一单间房屋，潜心制作“熊猫烧香”病毒，在写作过程中，不断与雷磊交流写作进度。
11月，李俊将“熊猫烧香”病毒写完，通过QQ群发布出售“熊猫烧香”病毒的消息，先后在网上以每个病毒500—1000元的价格出售约20套。
今年1月24日，雷磊找到李俊，告知其网上炒作“熊猫烧香”很厉害，要其避一避。
当日，李俊与雷磊在武汉某宾馆开一房间，一起研究“熊猫烧香”，由雷磊继续在网上替李俊出售“熊猫烧香”病毒。
2月4日，仙桃市公安局网监大队对现场再次进行核查后，将李俊、雷磊回仙桃。公安部组织协调山东、浙江、云南、广东、广西等地网监部门，对涉案人员、服务器实施布控、扣。
2月4日晚10时许，仙桃市公安局网监大队再次召开了案件研讨会，决定成立3个专班进行追逃。
5日晚，仙桃公安局副局长叶铁官，在山东威海将王磊抓获。经初审，王磊交代，他是传播“熊猫烧香”病毒最多的一人，日平进账7000元以上，所得与李俊平分。
王磊还交代了另两个传播者，其中一个叫“X火”。“X火”的QQ资料显示，其咸宁市人，另一人QQ资料显示为浙江丽水。
在省厅网监总队的支持下，仙桃警方获悉自称“X火”的就是仙桃人。当晚，警方在“X火”家中将其抓获（此人真名王哲）。另一路追逃专班，在浙江温州将嫌疑人叶培新抓获。
此时，正在南昌收缴服务器的该网监大队队长万正明，接到指挥部的通知后，驱车赶往浙江丽水，3路追捕专班在浙江丽水会合。6日晚，将嫌疑人张顺抓获。
●“熊猫烧香”让李俊一天最高收入达万元
经审讯，李俊为“熊猫烧香”病毒制作者，其他5人为销售传播者。
李俊交代，“熊猫烧香”是将几种病毒合并一起，演变成一种新病毒“肉鸡”来控制电脑，在电脑里制造木马程序，盗窃他人电脑里的QQ号、游戏装备等，得手后变卖获利。李俊一天最高收入达万元。
6名嫌疑人落网时，警方现场共收缴10余万元，其中王磊还用赃款购买了一辆吉普车。
“熊猫烧香”病毒主要通过局域网感染，只要一台电脑被感染后，随即感染其他电脑，致使局域网络瘫痪；同时也可以通过U盘感染，受感染后的电脑，使用其他杀毒软件不可能将此病毒杀尽，反复感染。
至此，从2月3日至10日，仙桃公安局网监大队先后在武汉、山东、浙江等地共抓获了涉案的6名主要犯罪嫌疑人。