熊猫烧香这段时间成为了众多网友见面时的一句口头禅,“今天你烧香了没?”恶毒的熊猫烧香病毒在元旦前后成了最热门的病毒。“熊猫烧香”又称“武汉男生”,是一个感染型的蠕虫病毒,能感染系统中exe,com,pif,src,html,asp等文件,还能中止大量的反病毒软件进程并且会删除扩展名为gho的文件,该文件是一系统备份工具GHOST的备份文件,使用户的系统备份文件丢失。被感染的用户系统中所有.exe可执行文件全部被改成熊猫举着三根香的模样。
一、熊猫烧香有几个变种?
到目前为止,从大体上分,目前主要有四大变种:
变种A:就是FuckJacks.exe进程,它隐藏的全路径是%System32%\FuckJacks.exe
变种B:就是spoclsv.exe进程,它隐藏的全路径是:%System32%\Drivers\spoclsv.exe
变种C:对抗杀毒软件及专杀工具,杀毒公司惨遭屠戮(驱逐舰因为其超强免疫功能,所以免受 其害)
变种D:最近才出现的一个变种,该变种感染文件后图标不在是熊猫模样,当感染该变种会在临时目录发现100个图标文件。还有其它一些变种,基本都是为了躲避查杀进行修改和下载不同的后门的版本。
二、中毒症状
1、感染其他应用程序的.exe文件,并改变图标颜色,但不会感染微软操作系统自身的文件
2、删除GHOST文件(.gho后缀),网吧和学校机房深受其害
3、禁用进程管理器,禁用注册表
4、拷贝自身到所有驱动器根目录,命名为Setup.exe,并生成一个autorun.inf使得用户打开该盘运行病毒,并将这两个文件属性设置为隐藏、只读、系统
5、修改注册表,加载自启动,并禁止显示隐藏文件
6、通过IPC$共享跨机传染,弱密码或空密码的文件服务器就要遭殃了
7、禁用杀毒工具运行
三、处理方法
1、结束病毒进程,如FuckJacks.exe,spoclsv.exe进程。但因为中毒后无法打开任务管理器,所以必须通过第三方进程管理器来结束进程,打开进程后,找到相关的进程,并将之结束。结束进程后,任务管理器和注册表就可以打开了
2、修改注册表.
以下位置为注册表十三处启动项位置,去掉可疑启动项
HKCU-Software-Microsoft-WindowsNT-CurrentVersion-Windows-load HKLM-Software-Microsoft-WindowsNT-CurrentVersion-Winlogon-Userinit HKCU-Software-Microsoft-WindowsCurrentVersion-Policies-Explorer-Run HKLM-Software-Microsoft-WindowsCurrentVersion-Policies-Explorer-Run HKCU-Software-Microsoft-Windows-CurrentVersion-Run-Services-Once HKLM-Software-Microsoft-Windows-CurrentVersion-Run-Services-Once HKCU-Software-Microsoft-Windows-CurrentVersion-Run-Services HKLM-Software-Microsoft-Windows-CurrentVersion-Run-Services HKCU-Software-Microsoft-Windows-Current-Version-RunOnce HKLM-Software-Microsoft-Windows-Current-Version-RunOnce HKLMSoftwareMicrosoftWindowsCurrentVersionRunOnceEx HKCU-Software-Microsoft-Windows-CurrentVersion-Run HKLM-Software-Microsoft-Windows-CurrentVersion-Run
修改以下位置,目的是可以显示隐藏文件,因为熊猫病毒不允许显示隐藏文件,所以我们要改回来把ckeckedvalue的值由0改为1即可。
3、显示隐藏文件,我的电脑>工具>文件夹选项>查看,显示所有文件或文件夹,去掉隐藏受保护的操作系统文件前面的钩,找到病毒文件,(注意这些文件都是隐藏文件,如果你没显示隐藏文件的话,那看不到)并在相关目录底下新一个同名的文件,并设置为只读,如果是NTFS分区,则去掉其他所有的NTFS权限。
4、做完以上步骤后,重启电脑,熊猫烧香病毒原本就手工处理了,但本机被感染的文件还在,在用杀毒软件全盘扫描前,千万不要执行本机的其他应用程序或.exe文件,切记,切记
如果朋友们觉得我所写的手动方法太繁锁了,也可以从网上下载专杀工具
能猫烧香专杀工具下载地址:http://tool.duba.net/zhuansha/253.shtml
友情提醒广大网友们,为自己的电脑装下杀毒软件,不要试图在互联网上裸奔了,这样不仅仅毒害的是你个人,也将毒害到你周围的朋友和家人。
|