熊猫烧香的解决办法
熊猫烧香病毒变种 spoclsv.exe 解决方案~~~~~病毒大小：22,886 字节
加壳方式：UPack
样本MD5：9749216a37d57cf4b2e528c027252062
样本SHA1：5d3222d8ab6fc11f899eff32c2c8d3cd50cbd755
发现时间：2006.11
更新时间：2006.11
关联病毒：
传播方式：通过恶意网页传播，其它木马下载，可通过局域网、移动存储设备等传播
技术分析
==========
又是“熊猫烧香”FuckJacks.exe的变种，和之前的变种一样使用白底熊猫烧香图标，病毒运行后复制自身到系统目录下：
%System%\drivers\spoclsv.exe
创建启动项：
"svcshare"="%System%\drivers\spoclsv.exe"
修改注册表信息干扰“显示所有文件和文件夹”设置：
"CheckedValue"=dword:00000000
在各分区根目录生成副本：
X:\setup.exe
X:\autorun.inf
autorun.inf内容：
OPEN=setup.exe
shellexecute=setup.exe
shell\Auto\command=setup.exe
尝试关闭下列窗口：
QQKav
QQAV
VirusScan
Symantec AntiVirus
Duba
Windows
esteem procs
System Safety Monitor
Wrapped gift Killer
Winsock Expert
msctls_statusbar32
pjf(ustc)
IceSword
结束一些对头的进程：
Mcshield.exe
VsTskMgr.exe
naPrdMgr.exe
UpdaterUI.exe
TBMon.exe
scan32.exe
Ravmond.exe
CCenter.exe
RavTask.exe
Rav.exe
Ravmon.exe
RavmonD.exe
RavStub.exe
KVXP.kxp
KvMonXP.kxp
KVCenter.kxp
KVSrvXP.exe
KRegEx.exe
UIHost.exe
TrojDie.kxp
FrogAgent.exe
Logo1_.exe
Logo_1.exe
Rundl132.exe
禁用一系列服务：
Schedule
sharedaccess
RsCCenter
RsRavMon
RsCCenter
RsRavMon
KVWSC
KVSrvXP
kavsvc
AVP
McAfeeFramework
McShield
McTaskManager
navapsvc
wscsvc
KPfwSvc
SNDSrvc
ccProxy
ccEvtMgr
ccSetMgr
SPBBCSvc
Symantec Core LC
NPFMntor
MskService
FireSvc
删除若干安全软件启动项信息：
RavTask
KvMonXP
kav
KAVPersonal50
McAfeeUpdaterUI
Network Associates Error Reporting Service
ShStatEXE
YLive.exe
yassistse
使用net share命令删除管理共享：
net share X$ /del /y
net share admin$ /del /y
net share IPC$ /del /y
遍历目录，感染除以下系统目录外其它目录中的exe、com、scr、pif文件：
X:\WINDOWS
X:\Winnt
X:\System Volume Information
X:\Recycled
%ProgramFiles%\Windows NT
%ProgramFiles%\WindowsUpdate
%ProgramFiles%\Windows Media Player
%ProgramFiles%\Outlook Express
%ProgramFiles%\Internet Explorer
%ProgramFiles%\NetMeeting
%ProgramFiles%\Common Files
%ProgramFiles%\ComPlus Applications
%ProgramFiles%\Messenger
%ProgramFiles%\InstallShield Installation Information
%ProgramFiles%\MSN
%ProgramFiles%\Microsoft Frontpage
%ProgramFiles%\Movie Maker
%ProgramFiles%\MSN Gamin Zone
将自身捆绑在被感染文件前端，并在尾部添加标记信息：
.WhBoy{原文件名}.exe.{原文件大小}.
与之前变种不同的是，这个病毒体虽然是22886字节，但是捆绑在文件前段的只有22838字节，被感染文件运行后会出错，而不会像之前变种那样释放出{原文件名}.exe的原始正常文件。
另外还发现病毒会覆盖少量exe，删除.gho文件。
病毒还尝试使用弱密码访问局域网内其它计算机：
password
harley
golf
pussy
mustang
shadow
fish
qwerty
baseball
letmein
ccc
admin
abc
pass
passwd
database
abcd
abc123
sybase
123qwe
server
computer
super
123asd
ihavenopass
godblessyou
enable
alpha
1234qwer
123abc
aaa
patrick
pat
administrator
root
sex
god
foobar
secret
test
test123
temp
temp123
win
asdf
pwd
qwer
yxcv
zxcv
home
xxx
owner
login
Login
love
mypc
mypc123
admin123
mypass
mypass123
Administrator
Guest
admin
Root
清除步骤
==========
1. 断开网络
2. 结束病毒进程
%System%\drivers\spoclsv.exe
3. 删除病毒文件：
%System%\drivers\spoclsv.exe
4. 右键点击分区盘符，点击右键菜单中的“打开”进入分区根目录，删除根目录下的文件：
X:\setup.exe
X:\autorun.inf
5. 删除病毒创建的启动项：
"svcshare"="%System%\drivers\spoclsv.exe"
6. 修改注册表设置，恢复“显示所有文件和文件夹”选项功能：
"CheckedValue"=dword:00000001
7. 修复或重新安装反病毒软件
8. 使用反病毒软件或专杀工具进行全盘扫描，清除恢复被感染的exe文件
我们做完上面的步骤后，会发现病毒已经清楚。
但，还没完，病毒其实还在你的电脑里的很多文件内存在，至今还没有任何一个杀毒软件可以完全的清除，只要上网打开网页就会马上再次中毒。
经过摸索，我也搞了几个小花招，它终于暂时被降服了。
我在次在细说我的方法：
1在防火墙中加入黑名单：61.139.2.69
2在防火墙中禁止“放行所有ICMP”，不许病毒包通过。
3打开windows xp的服务 关闭被病毒打开的 很多服务...
大概他打开了有7-8个服务吧，你中了后不关闭，这些后门就会使得你继续中毒。
4建立目录
md c:\windows\system32\drivers\spoclsv.exe
当然，在建立前，必须删除原来存在的spoclsv.exe
5防火墙中设置对c:\windows\system32\drivers\spoclsv.exe的监控，严禁任何程序删除他。
打开windows xp的服务 关闭被病毒打开的 很多服务...
大概他打开了有7-8个服务吧，你中了后不关闭，这些后门就会使得你继续中毒。
这些服务需要把启动状态搞成“已禁止”（都是被病毒打开和注册的）：
1 telnet 允许远程登陆
2 terminal services 多位用户连接使用
3 remote registry 远程允许修改注册表
4 routing and remote access 局域网广域网的进入
5 remote access auto connection manager 远程引用者连接
6 NetMeeting Remote Desktop Sharing 懒得打字解释了
7 Automatic Updates 自动更新windows,我是不用的，关不关随意你。
8 共享 USN 杂志阅读器服务 关了它，无聊啊！
9 Net Logon 呵呵，看情况吧。我是关了他，禁止一切其他人的log on!
熊猫烧香病毒介绍及清除方法
病毒名称：Worm.WhBoy.h 病毒中文名：熊猫烧香(武汉男生)病毒类型：蠕虫
危险级别：★★★★★
影响平台：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒描述：
“武汉男生”，俗称“熊猫烧香”，这是一个感染型的蠕虫病毒，它能感染系统中exe，com，pif，src，html，asp等文件，它还能中止大量的反病毒软件进程并且会删除扩展名为gho的文件，该文件是一系统备份工具GHOST的备份文件，使用户的系统备份文件丢失。被感染的用户系统中所有.exe可执行文件全部被改成熊猫举着三根香的模样。
1:拷贝文件
病毒运行后,会把自己拷贝到C:\WINDOWS\System32\Drivers\spoclsv.exe
2:添加注册表自启动
病毒会添加自启动项HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run svcshare -> C:\WINDOWS\System32\Drivers\spoclsv.exe
3:病毒行为
a:每隔1秒寻找桌面窗口,并关闭窗口标题中含有以下字符的程序：
QQKav、QQAV、防火墙、进程、VirusScan、网镖、杀毒、毒霸、瑞星、江民、黄山IE、超级兔子、优化大师、木马克星、木马清道夫、QQ病毒、注册表编辑器、系统配置实用程序、卡巴斯基反病毒、Symantec AntiVirus、Duba、esteem proces、绿鹰PC、密码防盗、噬菌体、木马辅助查找器、System Safety Monitor、Wrapped gift Killer、Winsock Expert、游戏木马检测大师、msctls_statusbar32、pjf(ustc)、IceSword
并使用的键盘映射的方法关闭安全软件IceSword
添加注册表使自己自启动 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run svcshare -> C:\WINDOWS\System32\Drivers\spoclsv.exe
并中止系统中以下的进程:
Mcshield.exe、VsTskMgr.exe、naPrdMgr.exe、UpdaterUI.exe、TBMon.exe、scan32.exe、Ravmond.exe、CCenter.exe、RavTask.exe、Rav.exe、Ravmon.exe、RavmonD.exe、RavStub.exe、KVXP.kxp、kvMonXP.kxp、KVCenter.kxp、KVSrvXP.exe、KRegEx.exe、UIHost.exe、TrojDie.kxp、FrogAgent.exe、Logo1_.exe、Logo_1.exe、Rundl132.exe
b:每隔18秒点击病毒作者指定的网页,并用命令行检查系统中是否存在共享，共存在的话就运行net share命令关闭admin$共享
c:每隔10秒下载病毒作者指定的文件,并用命令行检查系统中是否存在共享，共存在的话就运行net share命令关闭admin$共享
d:每隔6秒删除安全软件在注册表中的键值
并修改以下值不显示隐藏文件 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL CheckedValue -> 0x00
删除以下服务:
navapsvc、wscsvc、KPfwSvc、SNDSrvc、ccProxy、ccEvtMgr、ccSetMgr、SPBBCSvc、Symantec Core LC、NPFMntor MskService、FireSvc
e:感染文件
病毒会感染扩展名为exe,pif,com,src的文件,把自己附加到文件的头部，并在扩展名为htm,html, asp,php,jsp,aspx的文件中添加一网址，用户一但打开了该文件，IE就会不断的在后台点击写入的网址，达到增加点击量的目的,但病毒不会感染以下文件夹名中的文件：
WINDOW、Winnt、System Volume Information、Recycled、Windows NT、WindowsUpdate、Windows Media Player、Outlook Express、Internet Explorer、NetMeeting、Common Files、ComPlus Applications、Messenger、InstallShield Installation Information、MSN、Microsoft Frontpage、Movie Maker、MSN Gamin Zone
g:删除文件
病毒会删除扩展名为gho的文件，该文件是一系统备份工具GHOST的备份文件使用户的系统备份文件丢失。
51CTO安全频道为您提供的解决办法：
1、就是要关闭自己的默认共享。
首先运行regedit，找到如下组建把
RestrictAnonymous = DWORD的键值改为：00000001。
restrictanonymous REG_DWORD
0x0 缺省
0x1 匿名用户无法列举本机用户列表
0x2 匿名用户无法连接本机IPC
说明:不建议使用2，否则可能会造成你的一些服务无法启动，如SQL Server
2、禁止默认共享
1）察看本地共享资源
运行-cmd-输入net share
2）删除共享(每次输入一个）
net share ipc$ /delete
net share admin$ /delete
net share c$ /delete
net share d$ /delete（如果有e,f,……可以继续删除）
3）修改注册表删除共享
运行-regedit
找到如下主键
把AutoShareServer（DWORD）的键值改为0000000。
如果上面所说的主键不存在，就新建(右击-新建-双字节值）一个主健再改键值。
您推荐的专杀工具：
瑞星专杀工具 金山专杀工具 安天专杀工具 江民专杀工具 安博士专杀工具
怎样预防熊猫烧香系列病毒？
最近那个熊猫烧香病毒让所有用电脑的人很生气，熊猫这个国宝似乎不再可爱，而成了人人喊打的过街老鼠。熊猫变种实在太多，中招后的损失很严重，杀毒软件一直在救火中。以下几招很简单易行，帮你预防熊猫烧香病毒，至少能明显减少你中招的几率。1．立即检查本机administrator组成员口令，一定放弃简单口令甚至空口令，安全的口令是字母数字特殊字符的组合，自己记得住，别让病毒猜到就行。修改方法，右键单击我的电脑，选择管理，浏览到本地用户和组，在右边的窗格中，选择具备管理员权限的用户名，单击右键，选择设置密码，输入新密码就行。
2．利用组策略，关闭所有驱动器的自动播放功能。
步骤：单击开始，运行，输入gpedit.msc，打开组策略编辑器，浏览到计算机配置，管理模板，系统，在右边的窗格中选择关闭自动播放，该配置缺省是未配置，在下拉框中选择所有驱动器，再选取已启用，确定后关闭。最后，在开始，运行中输入gpupdate，确定后，该策略就生效了。
3．修改文件夹选项，以查看不明文件的真实属性，避免无意双击骗子程序中毒。
步骤：打开资源管理器（按windows徽标键＋E），点工具菜单下文件夹选项，再点查看，在高级设置中，选择查看所有文件，取消隐藏受保护的操作系统文件，取消隐藏文件扩展名。
4．时刻保持操作系统获得最新的安全更新，建议用毒霸的漏洞扫描功能，汗，很可惜，现在光缆还没修好，网不通，不好修复。
5．启用windows防火墙保护本地计算机。
病毒查杀：实例讲解如何干掉“熊猫烧香”
惊险查杀过程1.熊猫烧香病毒：图片就是个熊猫在烧香感觉蛮可爱的！当时并没有很在意！第二天再次打开电脑的时候！几乎电脑所有的EXE文件都成了熊猫烧香图片！这时才有所感觉！
部分EXE文件已经无法正常使用！新加一个AUTORUN.INF的文件！
当初不明白这个文件的作用！在网上查了一些资料表明。才知道。只要用户打开盘符。就会运行这个病毒！用杀毒软件杀毒！没有效果！看来现在的杀毒软件越来越不行了~..
2.想用组合键打开任务管理器！无法打开~失败....想看看注册表有没什么情况。依然失败！奇怪的是：电脑运行正常。也都不卡！难道不是病毒.是系统出了问题？从网上下了第三方工具查看进程！果然看到两个可疑进程！FuckJacks.exe貌似是最可疑的不敢贸然终止！赶快问问白度大叔！
3.大叔告诉我。是熊猫病毒的进程！一切正如我意！懒的装系统了！
4.先结束FuckJacks.exe进程！开始-运行-CMD 输入：ntsd -c q -p 病毒的PID~终于KILL掉了！一切恢复正常了！兴奋ING...赶快打开注册表
突然注册表又关了.看看进程FuckJacks.exe。又出现了~~那应该它还有个守护进程！找找找。无发现....奇怪了。难道他的守护进程插入到系统
进程了？不会吧.....头疼一阵...。
5.算了，去向朋友找个专杀工具。有一个朋友说他写过熊猫的专杀工具！晕~~原来牛人在我身边。我都没发现~赶快想他请教~~才大概的了解了熊猫烧香~ 叫他给了我一个无壳的熊猫自己分析下~（自己动手.丰衣足食嘛~~）
6.用UI32打开熊猫.看到了条用的部分资源！文件执行后。释放到\system32\FuckJacks.exe下。
7.继续象下可以看到熊猫的一些传播过程相当的经典..有扫描同一网段的电脑~自我复制.等等相当强大公能~同时感染所有盘符的EXE文件~却不对一些重要的系统文件和常用文件进行感染！可见并不想早成太大破坏~修改注册表.禁止打开注册表.甚至禁用了部分服务~~
8下面就是重要的时刻了！从后面的代码可以看出！病毒的作者是个非常出色的程序员！有非常好的编程习惯！对病毒的异常运行~进行了很好的定义~都很大段都是作者对病毒运行条件的判断定义~值得注意的一点：在感染EXE文件的同时！感染ASP。HTML文件。会在最后加一段类似挂马的基本代码.~~做到通过第三方尽快传播的办法~（如果被感染者是网站管理人员。后果可想而知了）
病毒程序的运行
在给大家说下病毒的部分运行实现！简单的修改注册表：
有这样一句：WSHELL.REGWIRTEMYREGKEY， MYREGVALUE， MY REGTYPE
第一个是参数的键名：完整路径..
第二个是：键值。。
第三个是：键的类型，
Set wshell=wscript.createobject("wscript.shell")
wshell.regWrite"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\windows NT\CurrentVersion\Winlogin\shell","eseplorer.exe","REG_SZ"
这就是脚本病毒掼用技术~
通用的解决方法
1、就是要关闭自己的默认共享。
首先运行regedit，找到如下组建把
RestrictAnonymous = DWORD的键值改为：00000001。
restrictanonymous REG_DWORD
0x0 缺省
0x1 匿名用户无法列举本机用户列表
0x2 匿名用户无法连接本机IPC
说明:不建议使用2，否则可能会造成你的一些服务无法启动，如SQL Server
2、禁止默认共享
1）察看本地共享资源
运行-cmd-输入net share
2）删除共享(每次输入一个）
net share ipc$ /delete
net share admin$ /delete
net share c$ /delete
net share d$ /delete（如果有e,f,……可以继续删除）
3）修改注册表删除共享
运行-regedit
找到如下主键
把AutoShareServer（DWORD）的键值改为0000000。
如果上面所说的主键不存在，就新建(右击-新建-双字节值）一个主健再改键值。
我们看看这个病毒功能： 瞬间复制整个硬盘、有监视QQ记录的功能、网吧的电脑依然有效！显然有了精灵的转存功能。值得注意的功能：删除GHOST的功能，控制电脑进行集体的DDOS，更出现了KILL掉KV、瑞星和金山的功能！
病毒的特性：网页传播！电脑的弱口令。默认共享传播！在内网的传播速度非常的快！对企业的居于网有很大的杀伤力！病毒瞬间复制整个硬盘。占用内存极小~
熊猫这款病毒虽然不是很新鲜。但是病毒的作者真的很让人佩服~完全的网络高手！超强的优秀程序员！
忘说了：网络巡警的熊猫专杀工具。就可以杀最新的变种！
熊猫烧香变种spoclsv.exe的查杀
1. 断开网络（必要）2. 结束病毒进程
%System%\drivers\spoclsv.exe
本步骤要本着2大原则：“眼疾手快、愚公移山”，有了这2大精神，那么本步骤也就不难完成了，不过运气好的哥们儿，可能会一下搞定，运气不好的.......
3. 删除病毒文件：
c:\windows\system32\drivers\spoclsv.exe
注意：打开C盘要右键-开打，负责仁兄就要功亏一篑，重复2的步骤鸟，伤心吧！
4. 修改注册表设置，恢复“显示所有文件和文件夹”选项功能：
CODE:
"CheckedValue"=dword:00000001
本步骤针对病毒将显示隐藏文件禁用的情况
5. 右键点击分区盘符，点击右键菜单中的“打开”进入分区根目录，删除根目录下的文件：
X:\setup.exe
X:\autorun.inf
6. 删除病毒创建的启动项：
CODE:
"svcshare"="%System%\drivers\spoclsv.exe"
7. 使用专杀工具进行全盘扫描，清除恢复被感染的exe文件
推荐使用软件：NimayaKiller
下载地址：http://download.rising.com.cn/zsgj/NimayaKiller.scr
注意：此软件必须上网更新才有用！
估计现在已经大功告成，如还是没搞定，那就要你动动脑筋，具体情况具体对待咯！
熊猫烧香病毒及其变种如何查杀？
一、熊猫烧香有几个变种？到目前为止，从大体上分，目前主要有四大变种，变种A我们已经分析，变种B的就是大家常说的spoclsv.exe进程，它藏的全路径是：% SystemRoot%Driversspoclsv.exe，其它部分与变种A基本一致。变种C主要的改动是对抗杀毒软件，尤其是超级巡警的专杀， 该专杀旧版本被360安全卫士内置到工具列表中。变种C通过查找窗口标题有超级巡警字样，即关闭该窗口，即使在桌面新建一个名为超级巡警的文本文件，用记 事本打开也会被关闭。因此许多网友下载了旧版的专杀，抱怨打开就被关闭，同时熊猫烧香病毒还会关闭其它一些常见的进程管理的，比如常用的Windows任务管理器。对付这种变种的方法就是使用一个不被关闭的进程管理，关闭掉名为spoclsv.exe的进程。然后在使用巡警的专杀，当然也可以下载最新的超级巡警使用里面的专杀来查杀。
变种D是最近才出现的一个变种，该变种感染文件后图标不在是熊猫模样，当感染该变种会在临时目录发现100个图标文件。还有其它一些变种，基本都是为了躲避查杀进行修改和下载不同的后门的版本。
二、对系统的破坏：
熊猫烧香在感染的系统上，会关闭杀毒软件进程，删除杀毒软件的注册表项目，禁用杀毒软件的服务，修改资源管理器不显示隐藏文件等。
还会调用如下命令来删除共享：
cmd.exe /c net share C$ /del /y
cmd.exe /c net share D$ /del /y
cmd.exe /c net share admin$ /del /y
....
旧变种会全面感染系统文件，新变种会感染除系统目录外的文件，即尽量不感染微软操作系统自身的文件。
新旧变种都会删除.gho，一般人会在安装完成系统后，使用Norton Ghost进行备份，熊猫会恶意删除这个备份文件。
其中一个变种还会在感染目录生成desktop_.ini。
最大的破坏是，熊猫烧香本身就是一种下载者，会在指定的网站下载后门、木马、各种盗号程序，甚至DDoS程序。
三、为什么无法清除干净，如何彻底查杀：
有人使用了超级巡警和巡警之熊猫专杀后，将一个机子杀干净了，但不久又发现感染了，这是因为，熊猫烧香在感染了一个系统后，开启一个单独的线程进行C类网 络扫描感染，访问同网段的139/445端口，进行IPC$密码猜解和查找共享，并感染共享中的文件。这样只要网络内有一个机子还有存活的熊猫烧香病毒， 就依然存在再次感染全网的可能。
许多朋友网络内都是有文件共享服务器，电影服务器，而许多网友的网络内的人都为了方便系统登录口令都是空口令，或者是123这样的简单口令。
局域网中有用户IE没有打补丁，浏览挂了熊猫烧香病毒的网站，并不知情。
查杀的办法是：
1、断开网络，使用超级巡警之熊猫烧香专杀，每个机子全面杀毒。
2、修改口令，取消本地共享目录。
3、查杀完成后使用超级巡警的补丁检查检查系统没有打的补丁，及时打上补丁，尤其是IE补丁。
最新版巡警已经内置了最新专杀，请到官方网站http://dswlab.com中推荐的下载地址去下载!
如何成功清除“熊猫烧香”病毒
木马名称：setup.exe木马大小：91,648字节
所在位置：由C至Z盘的根目录下
附带文件：autorun.inf
文件内容：
OPEN=setup.exe
shellexecute=setup.exe
shell\Auto\command=setup.exe
所在位置：由C至Z盘的根目录下
木马名称：spoclsv.exe
木马大小：91,648字节
所在位置：C:\windows\system32\drivers\
木马特征：该木马病毒利用微软IE漏洞（IE7.0也未被幸免）通过网站传播，中了此木马的电脑，会有以下特征：
1、在任务管理器里有spoclsv.exe文件进程。
2、在每个盘符的根目录下面生成以上的setup.exe和autorun.inf两个文件，当用户打开电脑的任意一个盘，即执行该木马病毒。
3、该木马会强制关闭用户打开的“任务管理器”。
4、该木马会强制关闭用户打开的“注册表编辑器(regedit)”、“系统配置实用程序(msconfig)”、IceSword等程序文件。
5、该木马会强制关闭用户电脑上安装的防病毒及网络监控软件，其中包括Symantec的norton企业版。
6、该木马修改注册表文件，在下生成"svcshare=C:\WINDOWS\system32\drivers\spoclsv.exe”的字符串值，修改
"CheckedValue"=dword:00000000。
7、该木马会删除电脑默认的共享目录。
另外该木马还会删除并感染.com、.pif、.scr、.exe文件，并生成一个以原文件名.exe.exe文件或.exe的烧香熊猫图标文件，并会寻找并删除.gho备份文件。
解决办法：
1、拔掉网线断开网络，打开Windows任务管理器，迅速找到spoclsv.exe，结束进程，找到explorer.exe，结束进程，再点击文件，新建任务，输入c:\WINDOWS\explorer.exe，确定。
2、点击开始，运行，输入cmd回车，输入以下命令：
del c:\setup.exe /f /q
del c:\autorun.inf /f /q
如果你的硬盘有多个分区，请逐次将c:改为你实际拥有的盘符（C盘-->Z盘）。上述两个木马文件为只读隐藏，会修改Windows属性，使用户无法通过设置文件夹选项显示所有文件及文件夹的功能看到。
3、进入注册表，删除HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run下svcshare值。
4、删除C:\windows\system32\drivers\spoclsv.exe
5、修复或重新安装防病毒软件并升级病毒库，彻底全面杀毒，清除恢复被感染的.exe文件。
6、屏蔽熊猫烧香病毒网站pkdown.3322.org和ddos2.sz45.com，具体方法如下：
打开C:\WINDOWS\system32\drivers\etc\host文件，添加修改如下格式：
# Copyright (c) 1993-1999 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host
127.0.0.1 localhost
127.0.0.1 *.3322.org
127.0.0.1 *.sz45.com
7、修复文件夹选项的“显示所有文件及文件夹”的方法：
A、找到HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL分支，在右边的窗口中双击CheckedValue键值项，该键值应为1.如果值不为1,改为1即可。
如果你设置仍起不了作用，那么接下来看。
有些木马把自己的属性设置成隐藏、系统属性，并且把注册表中“文件夹选项中的隐藏受保护的操作系统文件”项和“显示所有文件和文件夹”选项删除，致使通过procexp可以在进程中看到，但去文件所在目录又找不到源文件，无法进行删除。(正常如图，被修复后看不见图中标注的项)
针对这种情况可以把下面内容存储成ShowALl.reg文件,双击该文件导入注册表即可
Windows Registry Editor Version 5.00
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30501"
"Type"="radio"
"CheckedValue"=dword:00000002
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51104"
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"
"Type"="checkbox"
"Text"="@shell32.dll,-30508"
"WarningIfNotDefault"="@shell32.dll,-28964"
"HKeyRoot"=dword:80000001
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"ValueName"="ShowSuperHidden"
"CheckedValue"=dword:00000000
"UncheckedValue"=dword:00000001
"DefaultValue"=dword:00000000
"HelpID"="shell.hlp#51103"
@=""
具体操作方法：
1）通过记事本新建一个文件
2）将以上内容复制到新建的记事本文件中
3）通过记事本文件菜单另存为show.reg
4）双击存储的showall.reg文件，点击弹出的对话框是按钮即可。
注意：以上方法对win2000和XP有效
B、HKEY_LOCAL_MACHINE | Software |Microsoft | windows | CurrentVersion | explorer | Advanced | Folder | Hidden | SHOWALL，将CheckedValue键值修改为1
但可能依然没有用，隐藏文件还是没有显示，这是因为病毒在修改注册表达到隐藏文件目的之后，把本来有效的DWORD值CheckedValue删除掉，新建了一个无效的字符串值CheckedValue，并且把键值改为0！
方法：删除此CheckedValue键值，单击右键 新建Dword值，命名为CheckedValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”。 威金病毒该怎么清除啊
logo1_.exe,richdll.dll超级厉害啊!:Q
钉子提供下信息啊! 现在专杀的工具:
熊猫烧香:http://it.rising.com.cn/Channels/Service/2006-11/1163505486d38734.shtml 威金（Worm.Viking）”病毒专杀工具:http://it.rising.com.cn/Channels/Service/2006-07/1153119832d22607.shtml
页:
[1]
2
