金华网站建设-义乌网站建设-浙江网站建设

金华网页设计-义乌网页设计服务-浙江网络安全维护 提供企业网络安全维护、企业网站建设、企业网站维护、企业服务器维护等服务(金华服务器维护-义乌服务器维护),咨询: 张先生 15924245918 QQ:
posts - 65, comments - 95, trackbacks - 0, articles - 3
  IT博客 :: 首页 :: 新随笔 :: 联系 :: 聚合  :: 管理

如何杀掉熊猫烧香病毒

Posted on 2007-01-18 20:16 网工地带 阅读(790) 评论(3)  编辑 收藏 引用 所属分类: 病毒专区
1.熊猫烧香病毒:图片就是个熊猫在烧香感觉蛮可爱的!当时并没有很在意!第二天再次打开电脑的时候!几乎电脑所有的EXE文件都成了熊猫烧香图片!这时才有所感觉!    部分EXE文件已经无法正常使用!新加一个AUTORUN.INF的文件!
    当初不明白这个文件的作用!在网上查了一些资料表明。才知道。只要用户打开盘符。就会运行这个病毒!用杀毒软件杀毒!没有效果!看来现在的杀毒软件越来越不行了~..
    2.想用组合键打开任务管理器!无法打开~失败....想看看注册表有没什么情况。依然失败!奇怪的是:电脑运行正常。也都不卡!难道不是病毒.是系统出了问题?从网上下了第三方工具查看进程!果然看到两个可疑进程!FuckJacks.exe貌似是最可疑的不敢贸然终止!
   3.先结束FuckJacks.exe进程!开始-运行-CMD 输入:ntsd -c q -p 病毒的PID.
   4.注意这个FuckJacks.exe进程是结束了,但是他还有一个守护进程,如果你已经激活的话这个时候注册表全突然关闭。
   5.没办法只有找个熊猫烧香病毒用UI32打开熊猫.看到了条用的部分资源!文件执行后。释放到\system32\FuckJacks.exe下,发现熊猫的一些传播过程相当的经典..有扫描同一网段的电脑~自我复制.等等相当强大公能~同时感染所有盘符的EXE文件~却不对一些重要的系统文件和常用文件进行感染!可见并不想早成太大破坏~修改注册表.禁止打开注册表.甚至禁用了部分服务~~
病毒的作者是个非常出色的程序员!有非常好的编程习惯!对病毒的异常运行~进行了很好的定义~都很大段都是作者对病毒运行条件的判断定义~值得注意的一点:在感染EXE文件的同时!感染ASP。HTML文件。会在最后加一段类似挂马的基本代码.~~做到通过第三方尽快传播的办法
病毒程序的运行
简单的修改注册表:
    有这样一句:WSHELL.REGWIRTE  MYREGKEY, MYREGVALUE, MY REGTYPE  
    第一个是参数的键名:完整路径..
    第二个是:键值。。
    第三个是:键的类型,
Set wshell=wscript.createobject("wscript.shell")
wshell.regWrite"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\windowsNT\
CurrentVersion\Winlogin\shell","eseplorer.exe","REG_SZ"
    这就是脚本病毒掼用技术~

  通用的解决方法
    1、就是要关闭自己的默认共享。
    首先运行regedit,找到如下组建[HKEY_LOCAL_MACHINE\SYSTEM\
CurrentControlSet\Control\LSA]把
RestrictAnonymous = DWORD的键值改为:00000001。
restrictanonymous REG_DWORD
0x0 缺省
0x1 匿名用户无法列举本机用户列表
0x2 匿名用户无法连接本机IPC
说明:不建议使用2,否则可能会造成你的一些服务无法启动,如SQL Server
    2、禁止默认共享
    1)察看本地共享资源
    运行-cmd-输入net share
    2)删除共享(每次输入一个)
net share ipc$ /delete
net share admin$ /delete
net share c$ /delete
net share d$ /delete(如果有e,f,……可以继续删除)
    3)修改注册表删除共享
    运行-regedit
    找到如下主键[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\LanmanServer\Parameters]
    把AutoShareServer(DWORD)的键值改为0000000。
    如果上面所说的主键不存在,就新建(右击-新建-双字节值)一个主健再改键值。
做好以上的之后你还需要搞定以下几个:
      1、立即检查本机administrator组成员口令,一定放弃简单口令甚至空口令,安全的口令是字母数字特殊字符的组合,自己记得住,别让病毒猜到就行。
  修改方法:右键单击我的电脑,选择管理,浏览到本地用户和组,在右边的窗中,选择具备管理员权限的用户名,单击右键,选择设置密码,输入新密码就行。
  2、利用组策略,关闭所有驱动器的自动播放功能。
  步骤:单击开始,运行,输入gpedit.msc,打开组策略编辑器,浏览到计算机配置,管理模板,系统,在右边的窗格中选择关闭自动播放,该配置缺省是未配置,在下拉框中选择所有驱动器,再选取已启用,确定后关闭。最后,在开始,运行中输入gpupdate,确定后,该策略就生效了。
  3、修改文件夹选项,以查看不明文件的真实属性,避免无意双击骗子程序中毒。
  步骤:打开资源管理器(按windows徽标键+E),点工具菜单下文件夹选项,再点查看,在高级设置中,选择查看所有文件,取消隐藏受保护的操作系统文件,取消隐藏文件扩展名。
  4、时刻保持操作系统获得最新的安全更新,建议用毒霸的漏洞扫描功能。
  5、启用防火墙保护本地计算机。
  
    我门再看看这个病毒功能是多么的强大: 瞬间复制整个硬盘、有监视QQ记录的功能、网吧的电脑依然有效!显然有了精灵的转存功能。值得注意的功能:删除GHOST的功能,控制电脑进行集体的DDOS,更出现了KILL掉KV、瑞星和金山的功能!
    再看看病毒的特型:网页传播!电脑的弱口令。默认共享传播!在内网的传播速度非常的快!对企业的居于网有很大的杀伤力!病毒瞬间复制整个硬盘,占用内存极小。
注意:
网络巡警的熊猫专杀工具,可以杀最新的变种!

Feedback

# re: 如何杀掉熊猫烧香病毒  回复  更多评论   

2007-08-06 12:11 by 数据恢复
高手

# re: 如何杀掉熊猫烧香病毒  回复  更多评论   

2007-08-06 12:11 by 上海数据恢复
学习了

# re: 如何杀掉熊猫烧香病毒  回复  更多评论   

2007-08-06 12:12 by 磁盘阵列数据恢复
不错,收藏先
只有注册用户登录后才能发表评论。