Board logo

标  题: “熊猫烧香”蠕虫病毒的预防和专杀。 [打印本页]
作  者: 深海    时间: 2007-1-13 20:41     标  题: “熊猫烧香”蠕虫病毒的预防和专杀。

［转改文章非原创］

　　“熊猫烧香”蠕虫不但可以对用户系统进行破坏，导致大量应用软件无法使用，而且还可删除扩展名为gho的所有文件，造成用户的系统备份文件丢失，从而无法进行系统恢复；同时该病毒还能终止大量反病毒软件进程，大大降低用户系统的安全性。

　　这几天“熊猫烧香”的变种是表象异常活跃，以下预防措施，帮你远离“熊猫烧香”病毒的骚扰。

　　1、立即检查本机administrator组成员口令，一定放弃简单口令甚至空口令，安全的口令是字母数字特殊字符的组合，自己记得住，别让病毒猜到就行。

　　　　修改方法：右键单击我的电脑，选择管理，浏览到本地用户和组，在右边的窗中，选择具备管理员权限的用户名，单击右键，选择设置密码，输入新密码就行。

　　2.、利用组策略，关闭所有驱动器的自动播放功能。

　　　　步骤：单击开始，运行，输入gpedit.msc，打开组策略编辑器，浏览到计算机配置，管理模板，系统，在右边的窗格中选择关闭自动播放，该配置缺省是未配置，在下拉框中选择所有驱动器，再选取已启用，确定后关闭。最后，在开始，运行中输入gpupdate，确定后，该策略就生效了。

　　3、修改文件夹选项，以查看不明文件的真实属性，避免无意双击骗子程序中毒。

　　　　步骤：打开资源管理器（按windows徽标键＋E），点工具菜单下文件夹选项，再点查看，在高级设置中，选择查看所有文件，取消隐藏受保护的操作系统文件，取消隐藏文件扩展名。

　　4、时刻保持操作系统获得最新的安全更新。

　　5、启用windows防火墙保护本地计算机。

　　另外,请大家不要访问那些来路不明的网站,以及乱七八糟的网站,因为有些网站本身已经感染了病毒,心情论坛服务器已经经过查杀无任何问题

　　附件文件为专杀工具,是江民发布的,有需要的朋友可以下载使用：）

附件: VikingKiller.zip (2007-1-25 12:07, 122.53 K) / 该附件被下载次数 20
http://bbs.exinqing.net/attachment.php?aid=20103
作  者: 飞越冬季    时间: 2007-1-15 17:38

谢谢楼主,偶下下来,去杀一下哈.
作  者: 尘埃    时间: 2007-1-15 18:07

我被这个害惨了................
作  者: 蝶飞起舞    时间: 2007-1-16 09:12

不是的吧！！这么恐怖！！
为了和平，为了避免系统重装，偶也去杀杀。。。。

谢谢楼上
作  者: 小雨    时间: 2007-1-16 09:53

谢谢深海哦!下载杀毒去啦......
作  者: wuliao    时间: 2007-1-18 13:24     标  题: 回复 #1 深海 的帖子

深海我想问你一个问题我无意之中把我的电脑里的光驱驱动给删了,你说我该怎么办 啊,而且我还没有光驱的驱动程序,现在已经不读盘了.
作  者: 深海    时间: 2007-1-18 13:39



QUOTE:
原帖由 wuliao 于 2007-1-18 13:24 发表
深海我想问你一个问题我无意之中把我的电脑里的光驱驱动给删了,你说我该怎么办 啊,而且我还没有光驱的驱动程序,现在已经不读盘了.

单独发个主题提问呀。

解决问题之后记得将自己的手绑起来 省着没事乱点

你可以尝试,关机后重新启动,看看系统是否能检测出来新硬件。
因为光驱的驱动一般操作系统都会自带的,有可能自己就会检索并安装完毕的。
有时候可能自己检索不出来,那你就手动寻找一个通用的驱动,光驱一般来说“不需要”驱动就可以用的。
作  者: wuliao    时间: 2007-1-18 14:57     标  题: 回复 #7 深海 的帖子

不行，现在这台电脑，已经不读光驱了，搜索不到新硬件，然后我在从新添加一下，但是它显示驱动程序已经损坏，我真晕，到底怎么办好呀？你说从网上下得xp程序能装吗，我现在正想重新装一个程序呢
作  者: 深海    时间: 2007-1-18 15:21



QUOTE:
原帖由 wuliao 于 2007-1-18 14:57 发表
不行，现在这台电脑，已经不读光驱了，搜索不到新硬件，然后我在从新添加一下，但是它显示驱动程序已经损坏，我真晕，到底怎么办好呀？你说从网上下得xp程序能装吗，我现在正想重新装一个程序呢 ...

重装系统一定会可以。但是比较麻烦了。
我记得网上曾经有个叫“万能光驱驱动”的东东。
你不妨搜索一下,然后试试看。

搜索“万能光驱驱动”就可以了。
作  者: 小雨    时间: 2007-1-18 15:49

如果我也能在深海身上学到点计算机技术就好啊,可惜我笨得要死
作  者: wuliao    时间: 2007-1-19 09:16     标  题: 回复 #9 深海 的帖子

是啊，你说的我已经都试过了，不过还是不行，它说是万能驱动，其实就是兼容性强，但是对于我的光驱还是不行，不过不要紧我已经找到办法了。
   我们单位是一个局域网，我把xp安装程序盘放到我的电脑里，然后在把我的光驱共享就行了，我在从那台电脑上找到我的电脑就能从新装程序了，这下光驱驱动就有了，

    不过我还是得谢谢你
作  者: wuliao    时间: 2007-1-23 16:34     标  题: 回复 #1 深海 的帖子

竟然杀了3000多个病毒我都快疯了

病毒类型：蠕虫  
危险级别：★★★★★
影响平台：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
专杀工具：金山专杀工具     安天专杀工具      江民专杀工具      安博士专杀工具      赛门铁克专杀工具
病毒描述：
“武汉男生”，俗称“熊猫烧香”，这是一个感染型的蠕虫病毒，它能感染系统中exe，com，pif，src，html，asp等文件，它还能中止大量的反病毒软件进程并且会删除扩展名为gho的文件，该文件是一系统备份工具GHOST的备份文件，使用户的系统备份文件丢失。被感染的用户系统中所有.exe可执行文件全部被改成熊猫举着三根香的模样。

1:拷贝文件
病毒运行后,会把自己拷贝到C:\WINDOWS\System32\Drivers\spoclsv.exe
2:添加注册表自启动
病毒会添加自启动项HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run svcshare -> C:\WINDOWS\System32\Drivers\spoclsv.exe
3:病毒行为
a:每隔1秒寻找桌面窗口,并关闭窗口标题中含有以下字符的程序：
QQKav、QQAV、防火墙、进程、VirusScan、网镖、杀毒、毒霸、瑞星、江民、黄山IE、超级兔子、优化大师、木马克星、木马清道夫、QQ病毒、注册表编辑器、系统配置实用程序、卡巴斯基反病毒、Symantec AntiVirus、Duba、esteem proces、绿鹰PC、密码防盗、噬菌体、木马辅助查找器、System Safety Monitor、Wrapped gift Killer、Winsock Expert、游戏木马检测大师、msctls_statusbar32、pjf(ustc)、IceSword
并使用的键盘映射的方法关闭安全软件IceSword
添加注册表使自己自启动 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run svcshare -> C:\WINDOWS\System32\Drivers\spoclsv.exe
并中止系统中以下的进程:
Mcshield.exe、VsTskMgr.exe、naPrdMgr.exe、UpdaterUI.exe、TBMon.exe、scan32.exe、Ravmond.exe、CCenter.exe、RavTask.exe、Rav.exe、Ravmon.exe、RavmonD.exe、RavStub.exe、KVXP.kxp、kvMonXP.kxp、KVCenter.kxp、KVSrvXP.exe、KRegEx.exe、UIHost.exe、TrojDie.kxp、FrogAgent.exe、Logo1_.exe、Logo_1.exe、Rundl132.exe
b:每隔18秒点击病毒作者指定的网页,并用命令行检查系统中是否存在共享，共存在的话就运行net share命令关闭admin$共享
c:每隔10秒下载病毒作者指定的文件,并用命令行检查系统中是否存在共享，共存在的话就运行net share命令关闭admin$共享
d:每隔6秒删除安全软件在注册表中的键值
并修改以下值不显示隐藏文件 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL CheckedValue -> 0x00
删除以下服务:
navapsvc、wscsvc、KPfwSvc、SNDSrvc、ccProxy、ccEvtMgr、ccSetMgr、SPBBCSvc、Symantec Core LC、NPFMntor MskService、FireSvc
e:感染文件
病毒会感染扩展名为exe,pif,com,src的文件,把自己附加到文件的头部，并在扩展名为htm,html, asp,php,jsp,aspx的文件中添加一网址，用户一但打开了该文件，IE就会不断的在后台点击写入的网址，达到增加点击量的目的,但病毒不会感染以下文件夹名中的文件：
WINDOW、Winnt、System Volume Information、Recycled、Windows NT、WindowsUpdate、Windows Media Player、Outlook Express、Internet Explorer、NetMeeting、Common Files、ComPlus Applications、Messenger、InstallShield Installation Information、MSN、Microsoft Frontpage、Movie Maker、MSN Gamin Zone
g:删除文件
病毒会删除扩展名为gho的文件，该文件是一系统备份工具GHOST的备份文件使用户的系统备份文件丢失。




在百度上搜金山就可以了

[ 本帖最后由 wuliao 于 2007-1-23 17:12 编辑 ]

附件: 001.gif (2007-1-23 17:09, 15.75 K) / 该附件被下载次数 0
http://bbs.exinqing.net/attachment.php?aid=20357
作  者: 寂寞凝紫    时间: 2007-1-30 22:27

前些天中了一次，当时第一反应是，弄了个熊猫图标的截图，以纪念中过次病毒，呵呵。

然后下了个专杀，清理了下硬盘注册表，下了undelete，把被删的系统备份还原回来。
作  者: 花影    时间: 2007-1-31 00:09

顶！
作  者: 傻傻发呆    时间: 2007-1-31 21:47

我的不就是中招了。。。希望大家注意了 ，不要下那么乱七八遭的东西了 ，现在病毒太框了。说这说着 我就查出来了。。。
作  者: 傻傻发呆    时间: 2007-1-31 21:50

那 这不是杀出来了吗？ 真是谢谢楼主了

附件: {BEAE0CC2-F655-4ECD-B865-3ED0034DCEB0}.BMP (2007-1-31 21:50, 199.74 K) / 该附件被下载次数 0
http://bbs.exinqing.net/attachment.php?aid=20673
作  者: 忧伤的眼神    时间: 2007-2-2 17:44

听说着个"熊猫烧香"在圣诞的时候
很恶呢.恐怖恐怖...大家小心哇
作  者: 果冻布丁    时间: 2007-2-4 05:37

呵呵 ,海管总是很及时呀~

为了一防万一,还是下个杀杀吧~~谢了啊~ 海管!!



欢迎光临 心情论坛 (http://bbs.exinqing.net/) Powered by Discuz! 5.0.0 RC2