[转帖]对抗熊猫烧香的经历
这两个星期来，在网上看到最多的就是病毒．其中熊猫烧香更甚．偶有幸在不到两天的时间里中了两回．
先来说一下什么是熊猫病毒
[color=#ff9933]病毒名称：worm.whboy.h [/color][color=#ff9933]病毒中文名：熊猫烧香(武汉男生) [/color]
[color=#ff9933]病毒类型：蠕虫 [/color]
[color=#ff9933]危险级别：★★★★★ [/color]
[color=#ff9933]影响平台：win 9x/me,win 2000/nt,win xp,win 2003 [/color]
[color=#ff9933]专杀工具：[/color][url=http://down.www.kingsoft.com/db/download/othertools/dubatool_whboy.bat][color=#ff9933]金山专杀工具[/color][/url][color=#ff9933] [/color][url=http://www.antiy.com/download/killpp.scr][color=#ff9933]安天专杀工具[/color][/url][color=#ff9933] [/color][url=http://ec.jiangmin.com/test/pandakiller.rar][color=#ff9933]江民专杀工具[/color][/url][color=#ff9933] [/color][url=http://dl00.x.baidu.com/x/20060915shadu/ahn_dellboy.rar][color=#ff9933]安博士专杀工具[/color][/url][color=#ff9933] [/color][url=http://dl00.x.baidu.com/x/20060915shadu/fixfujacks.exe][color=#ff9933]赛门铁克专杀工具[/color][/url][color=#ff9933] [/color]
[color=#ff9933]病毒描述： [/color]
[color=#ff9933]“武汉男生”，俗称“熊猫烧香”，这是一个感染型的蠕虫病毒，它能感染系统中exe，com，pif，src，html，asp等文件，它还能中止大量的反病毒软件进程并且会删除扩展名为gho的文件，该文件是一系统备份工具ghost的备份文件，使用户的系统备份文件丢失。被感染的用户系统中所有.exe可执行文件全部被改成熊猫举着三根香的模样。 [/color]
[color=#ff9933][img]http://img.kingsoft.com/publish/duba/image/news/2006/12/26/001.gif[/img] [/color]
[color=#ff9933]1:拷贝文件 [/color]
[color=#ff9933]病毒运行后,会把自己拷贝到c:\windows\system32\drivers\spoclsv.exe [/color]
[color=#ff9933]2:添加注册表自启动 [/color]
[color=#ff9933]病毒会添加自启动项hkey_current_user\software\microsoft\windows\currentversion\run svcshare -> c:\windows\system32\drivers\spoclsv.exe [/color]
[color=#ff9933]3:病毒行为 [/color]
[color=#ff9933]a:每隔1秒寻找桌面窗口,并关闭窗口标题中含有以下字符的程序： [/color]
[color=#ff9933]qqkav、qqav、防火墙、进程、virusscan、网镖、杀毒、毒霸、瑞星、江民、黄山ie、超级兔子、优化大师、木马克星、木马清道夫、qq病毒、注册表编辑器、系统配置实用程序、卡巴斯基反病毒、symantec antivirus、duba、esteem proces、绿鹰pc、密码防盗、噬菌体、木马辅助查找器、system safety monitor、wrapped gift killer、winsock expert、游戏木马检测大师、msctls_statusbar32、pjf(ustc)、icesword [/color]
[color=#ff9933]并使用的键盘映射的方法关闭安全软件icesword [/color]
[color=#ff9933]添加注册表使自己自启动 hkey_current_user\software\microsoft\windows\currentversion\run svcshare -> c:\windows\system32\drivers\spoclsv.exe [/color]
[color=#ff9933]并中止系统中以下的进程: [/color]
[color=#ff9933]mcshield.exe、vstskmgr.exe、naprdmgr.exe、updaterui.exe、tbmon.exe、scan32.exe、ravmond.exe、ccenter.exe、ravtask.exe、rav.exe、ravmon.exe、ravmond.exe、ravstub.exe、kvxp.kxp、kvmonxp.kxp、kvcenter.kxp、kvsrvxp.exe、kregex.exe、uihost.exe、trojdie.kxp、frogagent.exe、logo1_.exe、logo_1.exe、rundl132.exe [/color]
[color=#ff9933]b:每隔18秒点击病毒作者指定的网页,并用命令行检查系统中是否存在共享，共存在的话就运行net share命令关闭admin$共享 [/color]
[color=#ff9933]c:每隔10秒下载病毒作者指定的文件,并用命令行检查系统中是否存在共享，共存在的话就运行net share命令关闭admin$共享 [/color]
[color=#ff9933]d:每隔6秒删除安全软件在注册表中的键值 [/color]
[color=#ff9933]并修改以下值不显示隐藏文件 hkey_local_machine\software\microsoft\windows\currentversion\explorer\advanced\folder\hidden\showall checkedvalue -> 0x00 [/color]
[color=#ff9933]删除以下服务: [/color]
[color=#ff9933]navapsvc、wscsvc、kpfwsvc、sndsrvc、ccproxy、ccevtmgr、ccsetmgr、spbbcsvc、symantec core lc、npfmntor mskservice、firesvc [/color]
[color=#ff9933]e:感染文件 [/color]
[color=#ff9933]病毒会感染扩展名为exe,pif,com,src的文件,把自己附加到文件的头部，并在扩展名为htm,html, asp,php,jsp,aspx的文件中添加一网址，用户一但打开了该文件，ie就会不断的在后台点击写入的网址，达到增加点击量的目的,但病毒不会感染以下文件夹名中的文件： [/color]
[color=#ff9933]window、winnt、system volume information、recycled、windows nt、windowsupdate、windows media player、outlook express、internet explorer、netmeeting、common files、complus applications、messenger、installshield installation information、msn、microsoft frontpage、movie maker、msn gamin zone [/color]
[color=#ff9933]g:删除文件 [/color]
[color=#ff9933]病毒会删除扩展名为gho的文件，该文件是一系统备份工具ghost的备份文件使用户的系统备份文件丢失。 [/color]
以上就是熊猫烧香的一些资料，也比较详细．
这前一直没中进这个，这周星期二开始一直中这个毒，刚开始中毒的时候没想过是这个，因为相对来说，偶上网一直比较小心，一般不轻易上不明网站和开不明邮件，但不知怎么就中毒了．
分三次讲一下中熊猫的经历吧：
第一次上上个星期了，有次装完ＭＳＮ后不断弹出网页，都是一些小网站的网页，几秒钟功夫就把资源占尽，速度变得极慢，偶于是用３６０杀恶意软件，提示杀完了，可是一开又有．于是上网查了一下资料，发现了ＨＯＳＴＳ这个文件，于是按照查的资料，把恶意网址屏蔽了，可是后来发现还是不行，还是有网页不断弹出．又用木马杀客杀了，也用ＨＪ修复了，可是还是不行，后来到周末了就不理了．周一再来的时候就是第二次中毒了．
第二次也就是第二周的星期一，来了发现同事重装系统了，于是那老弹出的网页也就没有了．接着放心上网了，也没在意了．因为以前有时也出现这样的情况，只要杀一下毒就行了．但星期二开始，恶意网页又开始出现了，在用３６０清除无果的情况下，我想手工杀毒，于是把文件隐藏属性去掉，结果就发现一只熊猫举着三支香在偶的电脑里蹲着！于是赶紧上５４来找工具杀毒．同时发现任务管理器被禁止了，声音小喇叭出现一个静音的符号，而且速度越来越慢．用３６０查杀恶意软件，可是杀了又出现杀了又出现，总是没办法清除，各木马软件扫的时候都说有病毒，可是清除重启后又出现．
而且ＨＪ被破坏了，没办法使用．于是进入安全模式下，用三种专杀工具同时进行杀毒工作．然后又下了个ＨＪ，开始扫描，把一些项给修复了，可是再扫还是发现有些又出现了，修复不了．后来专杀完后，再进入安全模式再次扫描，结果熊猫病毒扫不出了，威金也没有了，但用３６０查杀时，恶意软件还是在．不管怎么重启都没用，在安全模式下也没用．
于是进入注册表，一项一项的检查可疑项，然后手工清除．最后注册表提示查完了所有的项．于是再进入ＭＳＣＯＮＦＩＧ去看，把删的删，禁的禁．也在策略组里禁止了一些服务．最后用３６０一查，还是有恶意软件，而且一次不同一次，这次删了下次又出现．
最后再进入安全模式下，发现连网都上不了！于是再回来正常模式，发现速度很慢，桌面的图标也不显示了．任务管理器修复了也不行．想从网上下个ＷＩＮＳＯＣＫＸＰＦＩＸ修复，可是那天不知中了什么邪，不是下不了就是速度慢得比蜗牛的速度还慢，５９７ＫＢ的竟然下了半个小时也下不完．
于是，干脆ＦＯＲＭＡＴ了Ｃ盘．于星期三下午三点重做了系统．
第三次是在重做系统后，偶再次全盘扫描，没发现熊猫或者威金了，恶意软件也没有了．于是安全的上了一个晚上的网．
今天下午十二点多的时候上网了，然后一直很安全的用着，一直到了两点左右，在下了一个ＡＢＣ输入法并安装之后，突然弹出一个ＳＥＴＵＰ的对画框，偶看了一下，好象不是输入法的安装程序呀，与此同时我发现声音的小喇叭出现了静音的符号，顿时知道不好，又中毒了！！赶紧中止安装，一查，完了，一只熊猫又在电脑里蹲着了！！！
这次没这么慌乱了，进入安全模式去杀毒，果然发现了两个熊猫程序，而威金专杀却扫出了Ｎ个．这次不犹豫了，清完后马上格了Ｃ盘重装，不再浪费时间！！
重做系统后，先进入正常模式全盘扫描，发现恶意软件后进入安全模式下清除，然后再次全盘扫描．
最后下了卡巴，再次进行全盘扫描，同时把系统漏洞全打上补丁．现在没去看过那台机子，估计应该没什么问题了．
上面就是这三次中熊猫的经历．总的来说，遇到的时候不要慌，断开网用专杀工具杀，同时多个专杀工具如威金，灰鸽子专杀等一并杀，再把可疑进程关掉（一般来说关不掉，会不断出现）．基本上可以清除．
但----如果方便最好重装系统，因为中熊猫后，电脑可以用，但速度会变慢．
先说到这吧，太冷了，手冻僵了，已经没感觉了^o^
页:
[1]