Simone
熊猫烧香分析运行样本..释放文件C:\WINDOWS\system32\drivers\spo0lsv.exe创建启动项郑耐[software\microsoft\windows\currentversion\run]"svcshare"="C:\WINDOWS\system32\drivers\spo0lsv.exe"修改 显示文件和文件夹 注册表[software\microsoft\windows\currentversion\explorer\advanced\folder\hidden\showall]"checkedvalue"=dword:00000000所有根目录及移动存储生成X:\setup.exeX:\autorun.inf[AutoRun]OPEN=setup.exeshellexecute=setup.exeshell\Auto\command=setup.exe使用命令关闭共享cmd.exe /c net share X$ /del /ycmd.exe /c net share admin$ /del /y尝试关闭窗口防火墙进程杀毒virusscannod32网镖毒霸瑞星江民超级兔子优化大师木马清道夫卡巴斯基反病毒symantec antivirusdubaesteem procs绿鹰pc密码防盗噬菌体木马消丛孝辅助查找器system safety monitorwrapped gift killerwinsock expert游戏木马检测大师超级巡警pjf(ustc)iceswordmsctls_statusbar32尝试关闭进程mcshield.exevstskmgr.exenaprdmgr.exeupdaterui.exetbmon.exescan32.exeravmond.execcenter.exeravtask.exerav.exeravmon.exeravmond.exeravstub.exekvxp.kxpkvmonxp.kxpkvcenter.kxpkvsrvxp.exekregex.exeuihost.exetrojdie.kxpfrogagent.exelogo1_.exelogo_1.exerundl132.exeregedit.exemsconfig.exetaskmgr.exe删除以下启动项software\microsoft\windows\currentversion\run\ravtasksoftware\microsoft\windows\currentversion\run\kvmonxpsoftware\microsoft\windows\currentversion\run\kavsoftware\microsoft\windows\currentversion\run\kavpersonal50software\microsoft\windows\currentversion\run\mcafeeupdateruisoftware\microsoft\windows\currentversion\run\network associates error reporting servicesoftware\microsoft\windows\currentversion\run\shstatexesoftware\microsoft\windows\currentversion\run\ylive.exesoftware\microsoft\windows\currentversion\run\yassistse禁用以下服务schedulesharedaccessrsccenterrsravmonkvwsckvsrvxpkavsvcavpkavsvcmcafeeframeworkmcshieldmctaskmanagernavapsvcwscsvckpfwsvcsndsrvcccproxyccevtmgrspbbcsvcsymantec core lcnpfmntormskservicefiresvc搜索感染除以下目录外的所拿稿有.exe/.scr/.pif/.com/.htm/.html/.asp/.php/.jsp/.aspx文件windowswinntsystem32documents and settingssystem volume informationrecycledwindows ntwindowsupdatewindows media playeroutlook expressinternet explorernetmeetingcommon filescomplus applicationsmessengerinstallshield installation informationmsnmicrosoft frontpagemovie makermsn gamin zone感染时..病毒会跳过文件名为 setup.exe 和 ntdetect.com 的文件..并删除gho文件..感染的 .exe/.scr/.pif/.com/ 文件在 头部添加:30,001 字节(病毒主体) 尾部添加:29 字节(标记信息)感染的 .htm/.html/.asp/.php/.jsp/.aspx 网页文件 在尾部加入 在访问过的目录下生成 desktop_.ini 文件..用弱口令访问区域内的计算机(gamesetup.exe)...口令就不列了..熊猫烧香解决：⒈ 萧心论坛熊猫烧香专杀 作者:农夫山泉有点甜下载地址:http://virusfans.135.hezu1.com/mopery/nimuya.rar专杀介绍:http://forum.ikaka.com/topic.asp?board=28&artid=8241668适合系统:Windows 2000/Windows XP/Windows 2003可修复被熊猫感染的可执行文件..(修复最完美) 头部尾部都能清除掉..由本人更新..如果有此专杀查杀不到的熊猫烧香. 请压缩 病毒文件 发送 bin59420@yahoo.com.cn⒉ 超级巡警熊猫专杀 下载地址:http://virusfans.135.hezu1.com/mopery/Pandakiller.rar实现检测和清除.修复感染熊猫烧香病毒的文件,对熊猫烧香的未知变种具备侦测和处理能力，可以处理目前所有的熊猫烧香病毒家族和相关变种.. 此专杀未清除熊猫感染的尾部代码..⒊ CHENOE Anit-Virus Tools 作者:魏滔序下载地址:http://virusfans.135.hezu1.com/mopery/weitaoxu.rar专杀介绍:http://www.chenoe.com/AntiVirus/适合系统:Windows 98/Windows Me/Windows 2000/Windows XP/Windows 2003能修复被 熊猫 仿威金 威金 感染的可执行文件..可清除 _Disktop.ini Disktop_ini Autorun.inf ... -.- 强烈建议用来清熊猫释放的垃圾.. 和超级巡警一样未清除熊猫感染的尾部代码..⒋ 威金熊猫病毒终结器 作者:wangsea下载地址:http://virusfans.135.hezu1.com/mopery/wangsea.rar可修复 威金 熊猫 感染的可执行文件..无需特征码升级..1月18日 刚出炉的.. -.- 没怎么具体测.. 不过还是和上面一样..未清除熊猫感染的尾部代码..顺便连杀软产商的专杀一起写上..瑞星Worm.Nimaya （熊猫烧香）专用清除工具下载地址:http://it.rising.com.cn/Channels/Service/2006-11/1163505486d38734.shtml江民“威金”蠕虫专杀工具(“熊猫烧香”蠕虫专杀工具)下载地址:http://www.jiangmin.com/download/zhuansha04.htm金山“熊猫烧香”病毒专杀工具下载地址:http://www.xiongmaoshaoxiang.com/
