手工干掉熊猫烧香(转)

风伊翼

一、熊猫烧香有几个变种？
& Z1 Q+ `* V. `- K3 X, h到目前为止,从大体上分,目前主要有四大变种：
% _: _; M& v, A2 ~- c% @2 X/ L: j: c变种A：就是FuckJacks.exe进程,它隐藏的全路径是%System32%\FuckJacks.exe
6 J) {8 P7 F, a6 g变种B：就是spoclsv.exe进程,它隐藏的全路径是:%System32%\Drivers\spoclsv.exe
3 |+ T' W6 x2 n变种C：对抗杀毒软件及专杀工具，杀毒公司惨遭屠戮（驱逐舰因为其超强免疫功能，所以
免受其害）
: ?0 |* H2 T& b) ~. p9 a" Z变种D：最近才出现的一个变种，该变种感染文件后图标不在是熊猫模样，当感染该变种会
5 I# H; |9 @; }, [+ y5 }9 O8 I' c" }在临时目录发现100个图标文件。还有其它一些变种，基本都是为了躲避查杀进行修改和下
载不同的后门的版本。

0 S8 d6 t: G, s6 [& ?2 E, P二、中毒症状
  L! Y' K: h% ~1,感染其他应用程序的.exe文件，并改变图标颜色，但不会感染微软操作系统自身的文件
2,删除GHOST文件(.gho后缀)，网吧和学校机房深受其害
3,禁用进程管理器，禁用注册表
5 a3 d0 [4 D; D4 ]* z4,拷贝自身到所有驱动器根目录，命名为Setup.exe，并生成一个autorun.inf使得用户打开该
盘运行病毒，并将这两个文件属性设置为隐藏、只读、系统
5,修改注册表，加载自启动，并禁止显示隐藏文件
6,通过IPC$共享跨机传染，弱密码或空密码的文件服务器就要遭殃了
7、禁用杀毒工具运行

) }2 Q1 ^. g, N+ s- U: z+ D三、处理方法
1,结束病毒进程，如FuckJacks.exe，spoclsv.exe进程。但因为中毒后无法打开任务管理器，
所以必须通过第三方进程管理器来结束进程，建议使用http://www.vccn.com.cn/download/pv.exe，
# W9 N/ u; i" ?7 Z5 H用此工具打开进程后，找到相关的进程，并将之结束。结束进程后，任务管理器和注册表就可
  y* u% Q, @8 Z3 u! r. |1 d1 q5 i以打开了

' a  H3 R" A7 G: N, ]' `  g2,修改注册表.
$ j% D1 p" l9 ?  F) [. [" P以下位置为注册表十三处启动项位置，去掉可疑启动项
! i4 m! M4 M: ~2 |7 D3 y& AHKCU-Software-Microsoft-WindowsNT-CurrentVersion-Windows-load
HKLM-Software-Microsoft-WindowsNT-CurrentVersion-Winlogon-Userinit
HKCU-Software-Microsoft-WindowsCurrentVersion-Policies-Explorer-Run
HKLM-Software-Microsoft-WindowsCurrentVersion-Policies-Explorer-Run
HKCU-Software-Microsoft-Windows-CurrentVersion-Run-Services-Once
  y# Y; k  v/ M& R3 ?  FHKLM-Software-Microsoft-Windows-CurrentVersion-Run-Services-Once
& ~+ e9 j/ g( ^& r0 b- @2 _, lHKCU-Software-Microsoft-Windows-CurrentVersion-Run-Services
HKLM-Software-Microsoft-Windows-CurrentVersion-Run-Services
HKCU-Software-Microsoft-Windows-Current-Version-RunOnce
( z2 T0 K8 Y# s" `# C0 ]3 KHKLM-Software-Microsoft-Windows-Current-Version-RunOnce
  f: `+ ?8 J6 R. z4 Q* e3 r) AHKLMSoftwareMicrosoftWindowsCurrentVersionRunOnceEx
5 d  z# r7 j+ I1 E  sHKCU-Software-Microsoft-Windows-CurrentVersion-Run
0 e& j, I6 O6 q5 M# _7 p5 HHKLM-Software-Microsoft-Windows-CurrentVersion-Run
8 R' ?) R2 O8 v9 P2 P修改以下位置，目的是可以显示隐藏文件，因为熊猫病毒不允许显示隐藏文件，所以我们要改
; z0 p# l6 l5 C! h, ?( K/ ~0 J回来把ckeckedvalue的值由0改为1即可。
& A/ E. Q1 y  H# d8 `[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
' |" E, G7 P% q0 N$ M
+ w  O& t- ]% b) V6 V3,显示隐藏文件，我的电脑>工具>文件夹选项>查看,显示所有文件或文件夹，去掉隐藏受保护的
& c: n) v! z7 M8 \操作系统文件前面的钩，找到病毒文件，%System32%\FuckJacks.exe或
%System32%\Drivers\spoclsv.exe或%System32%\twunk32.exe并将其删除，找到病毒文件c:\ autorun.inf,c:\setup.exe,d:\autorun.inf,d:\setup.exe,e:\autorun.inf,e:\setup.exe,,,,, (注意这些文件都
: R( _6 n3 `) v/ Z是隐藏文件，如果你没显示隐藏文件的话，那看不到)并在相关目录底下新一个同名的文件，并
设置为只读，如果是NTFS分区，则去掉其他所有的NTFS权限.

4,做完以上步骤后，重启电脑，熊猫烧香病毒原本就手工处理了，但本机被感染的文件还在，
在用杀毒软件全盘扫描前，千万不要执行本机的其他应用程序或.exe文件，切记，切记
7 p/ J( i6 {7 k6 b
四，预防方法
4 i+ [/ m1 B" z' {( S2 j' q  M  ~按以上方法处理完后，熊猫烧香病毒很有可能再来，怎么办？
1,首先给本机设一个复杂密码，如果有没特殊应用的话，可禁用本机共享，方法为禁用server服务
2 `6 T) ]9 M; |+ ^2,安装杀毒软件，并升级到最新，查杀全盘
3,更新全部操作系统补丁