求救中。。。

yqeme

刚找1。21的补丁，进魔兽官网，右下角出现‘熊猫烧香’的图标，显示的大概是ERROR我以为没什么大碍。后来发现魔兽世界的图表变成了‘熊’，遂重新启动，显示屏非常混乱。于是又一次启动，这次机器开始变的异常的卡，请问中了‘熊’病毒有什么特性？怎么清除？听说比较麻烦。谢助~

Danexx

格式化所有盘吧~`

白银の式神

其实去年在学校里时偶学院滴机器就中料未变种滴病毒呢...
当时唯一的办法素重装+删除所有可执行文件...

Danexx

按时达到撒旦撒旦撒旦撒旦按时撒旦啊安定

幽灵眼

用卡巴斯基杀一遍就好了

幽灵眼

去瑞星和金山网站都有专杀工具

http://it.rising.com.cn/Channels/Service/index.shtml

普利司通

好像最新版的兔子也能杀

迷途滴羊羔

兔子....

碧泉阿

好象熊猫也有好几种的说恩。有烧香的也有不烧香的。具体分不清，不过大概都是会感染EXE文件并且在每个硬盘根目录下都会建立其病毒文件，并且会修改注册表使你无法查看系统文件和隐藏文件。

目前偶的解决办法是：

重装/恢复系统。
右键打开或用资源管理器打开其它的盘把根目录下的autorun.inf和setup.exe删除掉，也可能不是setup.exe，可以打开autorun.inf看看。
找出中被感染的EXE文件喀嚓掉。这时可以借助杀毒软件或专杀工具了。

如果这样都解决不了问题，那就只有重新分区把硬盘彻底清洗试试了。哎。
杀毒软件我没试过。不过网上提供的专杀工具在你中毒的系统里貌似是发挥不了多大的作用的。必须得保证系统是干净的。所以在重装后使用专杀工具比较好。而且，我试过瑞星还是金山提供的下载的专杀工具，好象只删除了autorun.inf而不会去删除setup.exe。恩，非常不彻底啊。

楼下是一篇网上搜来的文章，希望能有所帮助。

碧泉阿

引用自网络作者不明:
可恶的gamesetup熊猫烧香--知识大全熊猫烧香病毒的详细分析

下面让我们看看这个病毒的详细分析

setup.exe
File size:22886 bytes
SHA-160: 5D3222D8AB6FC11F899EFF32C2C8D3CD50CBD755
MD5    : 9749216A37D57CF4B2E528C027252062
CRC-32 : DE81BD8A
加壳方式：UPack
编写语言：Borland Delphi 6.0 - 7.0
感染方式：恶意网页传播，其它木马下载，局域网传播，感染移动存储设备



尝试关闭窗口
QQKav
QQAV
天网防火墙进程
VirusScan
网镖杀毒
毒霸
瑞星
江民
黄山IE
超级兔子
优化大师
木马克星
木马清道夫
木馬清道夫
QQ病毒注册表编辑器
系统配置实用程序
卡巴斯基反病毒
Symantec AntiVirus
Duba
Windows 任务管理器
esteem procs
绿鹰PC
密码防盗
噬菌体
木马辅助查找器
System Safety Monitor
Wrapped gift Killer
Winsock Expert
游戏木马检测大师
小沈Q盗杀手
pjf(ustc)
IceSword



尝试关闭进程
Mcshield.exe
VsTskMgr.exe
naPrdMgr.exe
UpdaterUI.exe
TBMon.exe
scan32.exe
Ravmond.exe
CCenter.exe
RavTask.exe
Rav.exe
Ravmon.exe
RavmonD.exe
RavStub.exe
KVXP.kxp
KvMonXP.kxp
KVCenter.kxp
KVSrvXP.exe
KRegEx.exe
UIHost.exe
TrojDie.kxp
FrogAgent.exe
Logo1_.exe
Logo_1.exe
Rundl132.exe
=============================================
删除以下启动项
SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\RavTask
SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\KvMonXP
SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\kav
SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\KAVPersonal50
SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\McAfeeUpdaterUI
SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\Network Associates Error Reporting



ServiceSOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\ShStatEXE
SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\YLive.exe
SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\yassistse



禁用以下服务
kavsvc
AVP
AVPkavsvc
McAfeeFramework
McShield
McTaskManager
McAfeeFramework McShield
McTaskManager
navapsvc
KVWSC
KVSrvXP
KVWSC
KVSrvXP
Schedule
sharedaccess
RsCCenter
RsRavMon
RsCCenter
RsRavMon
wscsvc
KPfwSvc
SNDSrvc
ccProxy
ccEvtMgr
ccSetMgr
SPBBCSvc
Symantec
Core LC
NPFMntor
MskService
FireSvc
=======================================
搜索感染除以下目录外的所有.EXE/.SCR/.PIF/.COM文件，并记有标记
WINDOWS
Winnt
System Volume Information
Recycled
Windows NT
Windows Update
Windows Media Player
Outlook Express
Internet Explorer
NetMeeting
Common Files
ComPlus
Applications
Messenger
InstallShield Installation Information
MSN
Microsoft Frontpage
Movie Maker
MSN Gamin Zone


删除.GHO文件  



添加以下启动位置
\\Documents and Settings\\All Users\\Start Menu\\Programs\\Startup\\Documents and Settings\\All Users\\「开始」菜单\\程序\\启动\\WINDOWS\\Start Menu\\Programs\\Startup\\WINNT\\Profiles\\All Users\\Start Menu\\Programs\\Startup\\



监视记录QQ和访问局域网文件记录：c:\\test.txt，试图QQ消息传送



试图用以下口令访问感染局域网文件（GameSetup.exe）
1234
password
6969
harley
123456
golf
pussy
mustang
1111
shadow
1313
fish
5150
7777
qwerty
baseball
2112
letmein
12345678
12345
ccc
admin
5201314
qq520
1
12
123
1234567
123456789
654321
54321
111
000000
abc
pw
11111111
88888888
pass
passwd
database
abcd
abc123
sybase
123qwe
server
computer
520
super
123asd
0
ihavenopass
godblessyou
enable
xp
2002
2003
2600
alpha
110
111111
121212
123123
1234qwer
123abc
007
aaaa
patrick
pat
administrator
root
***
god
foobar
secrettest
test123
temp
temp123
win
pc
asdf
pwd
qwer  yxcv
zxcv
home
xxx
owner
login
Login
pw123
love
mypc
mypc123
admin123
mypass
mypass123
901100
Administrator
Guest
admin
Root
=======================================
所有根目录及移动存储生成
X:\\setup.exe
X:\\autorun.inf
[AutoRun]
OPEN=setup.exe
shellexecute=setup.exe
shell\\Auto\\command=setup.exe



删除隐藏共享
cmd.exe /c net share $ /del /y
cmd.exe /c net share admin$ /del /y
cmd.exe /c net share IPC$ /del /y



创建启动项：
Software\\Microsoft\\Windows\\CurrentVersion\\Run
svcshare=指向\\%system32%\\drivers\\spoclsv.exe
禁用文件夹隐藏选项
SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced\\Folder\\Hidden\\SHOWALL\\CheckedValue


几乎现在的杀毒软件都没查出来！病毒会删除上面提到的反病毒软件的注册表键值，同时删除雅虎助手的注册表
**************************
搜索局域网共享，利用暴力破解局域网用户密码方式试图传播自己，成功后将以GameSetup.exe的形式传播
调用Net.exe和Net1.exe删除admin$和IPC$共享
记录键盘，盗取QQ，记录信息会保存到C:\\\\test.txt（同时会记录成功连接的IP共享信息）中
**************************
感染EXE、SCR、PIF、COM文件，同时删除GHOST备份（*.gho）

方法一：尼姆亚（Worm.Nimaya）”病毒：警惕程度★★★☆，蠕虫病毒，通过感染文件传播，依赖系统：WIN 9X/NT/2000/XP。

该病毒采用熊猫头像作为图标，诱使用户运行。病毒运行后，会自动查找Windows格式的EXE可执行文件，并进行感染。由于该病毒编写存在问题，用户的一些软件可能会被其损坏，无法运行。针对该病毒，瑞星已经紧急升级。同时，瑞星向社会发布免费的专杀工具，没有安装杀毒软件的用户可以登录http://it.rising.com.cn/Channels ... 3505486d38734.shtml下载后查杀。

方法二：修改注册表

Dd11.exe大小为30,465字节，FSG加壳处理。
病毒运行后会在%SYSTEM%下面释放FuckJacks.exe这么一个文件，同Dd11.exe。并且在每个分区根目录下面释放setup.exe和autorun.inf文件（利用系统自动播放达到启动目的）。
FuckJacks.exe将调用CMD.EXE、NET.EXE以及NET1.EXE几个程序，同时占用大量CPU，会结束掉一些进程，比如注册表编辑器、IceSword所有版本等。
病毒会覆盖或者修改掉正常的程序，当EXE程序的文件名第一个为数字或者字母a-d（A-D）时会立刻进行覆盖或修改，其他文件名的程序会慢慢侵蚀。
************************************
病毒会删除“安全中心”的相关注册表。
病毒增加如下注册表启动项：
[HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run]
"FuckJacks"="%SYSTEM%\\\\FuckJacks.exe"
[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run]
"svohost"="%SYSTEM%\\\\FuckJacks.exe"
[HKEY_USERS\\S-1-5-21-1757981266-2111687655-682003330-500\\Software\\Microsoft\\Windows\\CurrentVersion\\Run]
"FuckJacks"="%SYSTEM%\\\\FuckJacks.exe"
************************************
关于病毒的清除：
1、打开任务管理器，结束掉FuckJacks.exe进程。
2、右击每个分区盘符选择“打开”删除分区根目录下面的setup.exe和autorun.inf文件。
3、删除上面提到的病毒增加的注册表值。
4、关于安全中心的恢复可以从正常系统中倒入注册表，或者跳过这一步，不是特别重要。
5、被病毒覆盖的文件（覆盖后的文件大小为30,465字节）是不可恢复的，直接删除；被修改的文件用16进制编辑器删除Dd11.exe大小为30,465字节，FSG加壳处理。
病毒运行后会在%SYSTEM%下面释放FuckJacks.exe这么一个文件，同Dd11.exe。并且在每个分区根目录下面释放setup.exe和autorun.inf文件（利用系统自动播放达到启动目的）。
FuckJacks.exe将调用CMD.EXE、NET.EXE以及NET1.EXE几个程序，同时占用大量CPU，会结束掉一些进程，比如注册表编辑器、IceSword所有版本等。

可恶的大熊猫…….......

938

一直喜欢熊猫，为什么我一没杀毒软件，二没防火墙，三不打补丁。
在160G硬盘下载用掉一半熊猫也不来光顾我呢？