Board logo

标  题: “熊猫烧香”蠕虫病毒的预防和专杀。 [打印本页]

作  者: 深海    时间: 2007-1-13 20:41     标  题: “熊猫烧香”蠕虫病毒的预防和专杀。

[转改文章非原创]

  “熊猫烧香”蠕虫不但可以对用户系统进行破坏,导致大量应用软件无法使用,而且还可删除扩展名为gho的所有文件,造成用户的系统备份文件丢失,从而无法进行系统恢复;同时该病毒还能终止大量反病毒软件进程,大大降低用户系统的安全性。

  这几天“熊猫烧香”的变种是表象异常活跃,以下预防措施,帮你远离“熊猫烧香”病毒的骚扰。

  1、立即检查本机administrator组成员口令,一定放弃简单口令甚至空口令,安全的口令是字母数字特殊字符的组合,自己记得住,别让病毒猜到就行。

    修改方法:右键单击我的电脑,选择管理,浏览到本地用户和组,在右边的窗中,选择具备管理员权限的用户名,单击右键,选择设置密码,输入新密码就行。

  2.、利用组策略,关闭所有驱动器的自动播放功能。

    步骤:单击开始,运行,输入gpedit.msc,打开组策略编辑器,浏览到计算机配置,管理模板,系统,在右边的窗格中选择关闭自动播放,该配置缺省是未配置,在下拉框中选择所有驱动器,再选取已启用,确定后关闭。最后,在开始,运行中输入gpupdate,确定后,该策略就生效了。

  3、修改文件夹选项,以查看不明文件的真实属性,避免无意双击骗子程序中毒。

    步骤:打开资源管理器(按windows徽标键+E),点工具菜单下文件夹选项,再点查看,在高级设置中,选择查看所有文件,取消隐藏受保护的操作系统文件,取消隐藏文件扩展名。

  4、时刻保持操作系统获得最新的安全更新。

  5、启用windows防火墙保护本地计算机。

  另外,请大家不要访问那些来路不明的网站,以及乱七八糟的网站,因为有些网站本身已经感染了病毒,心情论坛服务器已经经过查杀无任何问题

  附件文件为专杀工具,是江民发布的,有需要的朋友可以下载使用:)

附件: VikingKiller.zip (2007-1-25 12:07, 122.53 K) / 该附件被下载次数 20
http://bbs.exinqing.net/attachment.php?aid=20103
作  者: 飞越冬季    时间: 2007-1-15 17:38

谢谢楼主,偶下下来,去杀一下哈.
作  者: 尘埃    时间: 2007-1-15 18:07

我被这个害惨了................
作  者: 蝶飞起舞    时间: 2007-1-16 09:12

不是的吧!!这么恐怖!!
为了和平,为了避免系统重装,偶也去杀杀。。。。

谢谢楼上
作  者: 小雨    时间: 2007-1-16 09:53

谢谢深海哦!下载杀毒去啦......
作  者: wuliao    时间: 2007-1-18 13:24     标  题: 回复 #1 深海 的帖子

深海我想问你一个问题我无意之中把我的电脑里的光驱驱动给删了,你说我该怎么办 啊,而且我还没有光驱的驱动程序,现在已经不读盘了.
作  者: 深海    时间: 2007-1-18 13:39



QUOTE:
原帖由 wuliao 于 2007-1-18 13:24 发表
深海我想问你一个问题我无意之中把我的电脑里的光驱驱动给删了,你说我该怎么办 啊,而且我还没有光驱的驱动程序,现在已经不读盘了.

单独发个主题提问呀。

解决问题之后记得将自己的手绑起来 省着没事乱点

你可以尝试,关机后重新启动,看看系统是否能检测出来新硬件。
因为光驱的驱动一般操作系统都会自带的,有可能自己就会检索并安装完毕的。
有时候可能自己检索不出来,那你就手动寻找一个通用的驱动,光驱一般来说“不需要”驱动就可以用的。
作  者: wuliao    时间: 2007-1-18 14:57     标  题: 回复 #7 深海 的帖子

不行,现在这台电脑,已经不读光驱了,搜索不到新硬件,然后我在从新添加一下,但是它显示驱动程序已经损坏,我真晕,到底怎么办好呀?你说从网上下得xp程序能装吗,我现在正想重新装一个程序呢
作  者: 深海    时间: 2007-1-18 15:21



QUOTE:
原帖由 wuliao 于 2007-1-18 14:57 发表
不行,现在这台电脑,已经不读光驱了,搜索不到新硬件,然后我在从新添加一下,但是它显示驱动程序已经损坏,我真晕,到底怎么办好呀?你说从网上下得xp程序能装吗,我现在正想重新装一个程序呢 ...

重装系统一定会可以。但是比较麻烦了。
我记得网上曾经有个叫“万能光驱驱动”的东东。
你不妨搜索一下,然后试试看。

搜索“万能光驱驱动”就可以了。
作  者: 小雨    时间: 2007-1-18 15:49

如果我也能在深海身上学到点计算机技术就好啊,可惜我笨得要死
作  者: wuliao    时间: 2007-1-19 09:16     标  题: 回复 #9 深海 的帖子

是啊,你说的我已经都试过了,不过还是不行,它说是万能驱动,其实就是兼容性强,但是对于我的光驱还是不行,不过不要紧我已经找到办法了。
   我们单位是一个局域网,我把xp安装程序盘放到我的电脑里,然后在把我的光驱共享就行了,我在从那台电脑上找到我的电脑就能从新装程序了,这下光驱驱动就有了,

    不过我还是得谢谢你
作  者: wuliao    时间: 2007-1-23 16:34     标  题: 回复 #1 深海 的帖子

竟然杀了3000多个病毒我都快疯了

病毒类型:蠕虫  
危险级别:★★★★★
影响平台:Win 9x/ME,Win 2000/NT,Win XP,Win 2003
专杀工具:金山专杀工具     安天专杀工具      江民专杀工具      安博士专杀工具      赛门铁克专杀工具
病毒描述:
“武汉男生”,俗称“熊猫烧香”,这是一个感染型的蠕虫病毒,它能感染系统中exe,com,pif,src,html,asp等文件,它还能中止大量的反病毒软件进程并且会删除扩展名为gho的文件,该文件是一系统备份工具GHOST的备份文件,使用户的系统备份文件丢失。被感染的用户系统中所有.exe可执行文件全部被改成熊猫举着三根香的模样。

1:拷贝文件
病毒运行后,会把自己拷贝到C:\WINDOWS\System32\Drivers\spoclsv.exe
2:添加注册表自启动
病毒会添加自启动项HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run svcshare -> C:\WINDOWS\System32\Drivers\spoclsv.exe
3:病毒行为
a:每隔1秒寻找桌面窗口,并关闭窗口标题中含有以下字符的程序:
QQKav、QQAV、防火墙、进程、VirusScan、网镖、杀毒、毒霸、瑞星、江民、黄山IE、超级兔子、优化大师、木马克星、木马清道夫、QQ病毒、注册表编辑器、系统配置实用程序、卡巴斯基反病毒、Symantec AntiVirus、Duba、esteem proces、绿鹰PC、密码防盗、噬菌体、木马辅助查找器、System Safety Monitor、Wrapped gift Killer、Winsock Expert、游戏木马检测大师、msctls_statusbar32、pjf(ustc)、IceSword
并使用的键盘映射的方法关闭安全软件IceSword
添加注册表使自己自启动 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run svcshare -> C:\WINDOWS\System32\Drivers\spoclsv.exe
并中止系统中以下的进程:
Mcshield.exe、VsTskMgr.exe、naPrdMgr.exe、UpdaterUI.exe、TBMon.exe、scan32.exe、Ravmond.exe、CCenter.exe、RavTask.exe、Rav.exe、Ravmon.exe、RavmonD.exe、RavStub.exe、KVXP.kxp、kvMonXP.kxp、KVCenter.kxp、KVSrvXP.exe、KRegEx.exe、UIHost.exe、TrojDie.kxp、FrogAgent.exe、Logo1_.exe、Logo_1.exe、Rundl132.exe
b:每隔18秒点击病毒作者指定的网页,并用命令行检查系统中是否存在共享,共存在的话就运行net share命令关闭admin$共享
c:每隔10秒下载病毒作者指定的文件,并用命令行检查系统中是否存在共享,共存在的话就运行net share命令关闭admin$共享
d:每隔6秒删除安全软件在注册表中的键值
并修改以下值不显示隐藏文件 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL CheckedValue -> 0x00
删除以下服务:
navapsvc、wscsvc、KPfwSvc、SNDSrvc、ccProxy、ccEvtMgr、ccSetMgr、SPBBCSvc、Symantec Core LC、NPFMntor MskService、FireSvc
e:感染文件
病毒会感染扩展名为exe,pif,com,src的文件,把自己附加到文件的头部,并在扩展名为htm,html, asp,php,jsp,aspx的文件中添加一网址,用户一但打开了该文件,IE就会不断的在后台点击写入的网址,达到增加点击量的目的,但病毒不会感染以下文件夹名中的文件:
WINDOW、Winnt、System Volume Information、Recycled、Windows NT、WindowsUpdate、Windows Media Player、Outlook Express、Internet Explorer、NetMeeting、Common Files、ComPlus Applications、Messenger、InstallShield Installation Information、MSN、Microsoft Frontpage、Movie Maker、MSN Gamin Zone
g:删除文件
病毒会删除扩展名为gho的文件,该文件是一系统备份工具GHOST的备份文件使用户的系统备份文件丢失。




在百度上搜金山就可以了

[ 本帖最后由 wuliao 于 2007-1-23 17:12 编辑 ]

附件: 001.gif (2007-1-23 17:09, 15.75 K) / 该附件被下载次数 0
http://bbs.exinqing.net/attachment.php?aid=20357
作  者: 寂寞凝紫    时间: 2007-1-30 22:27

前些天中了一次,当时第一反应是,弄了个熊猫图标的截图,以纪念中过次病毒,呵呵。

然后下了个专杀,清理了下硬盘注册表,下了undelete,把被删的系统备份还原回来。
作  者: 花影    时间: 2007-1-31 00:09

顶!
作  者: 傻傻发呆    时间: 2007-1-31 21:47

我的不就是中招了。。。希望大家注意了 ,不要下那么乱七八遭的东西了 ,现在病毒太框了。说这说着 我就查出来了。。。
作  者: 傻傻发呆    时间: 2007-1-31 21:50

那 这不是杀出来了吗? 真是谢谢楼主了

附件: {BEAE0CC2-F655-4ECD-B865-3ED0034DCEB0}.BMP (2007-1-31 21:50, 199.74 K) / 该附件被下载次数 0
http://bbs.exinqing.net/attachment.php?aid=20673
作  者: 忧伤的眼神    时间: 2007-2-2 17:44

听说着个"熊猫烧香"在圣诞的时候
很恶呢.恐怖恐怖...大家小心哇
作  者: 果冻布丁    时间: 2007-2-4 05:37

呵呵 ,海管总是很及时呀~

为了一防万一,还是下个杀杀吧~~谢了啊~ 海管!!




欢迎光临 心情论坛 (http://bbs.exinqing.net/) Powered by Discuz! 5.0.0 RC2