熊猫烧香变种 spoclsv.exe 解决方案

熊猫烧香变种 spoclsv.exe 解决方案 G
-1RSg  
图片： <%.CCd9S  
`pBv3`#ni  
spoclsv.exe是“熊猫烧香”病毒FuckJacks.exe的变种，和之前的变种一样使用白底熊猫烧三根香图标。 JqTq  
hNPk40  
中毒迹象 8V(E>2k]  
1.所有exe scr pif com等文件全都图标都变成了一个熊猫烧香的图标 y`TlyVp  
2.CUP使用率经常100% ,"$&o @`5  
3.进程里有个spoclsv.exe项，结束spoclsv.exe进程CPU会降下来 Z)LNmpy/  
4.杀毒软件被强制关闭 kR^<+_  
?|w)h1Y  
病毒动作 mIfnvB,N  
C1w<FBES8u  
病毒运行后复制自身到系统目录下： Eh*6JNmi  
%System%\drivers\spoclsv.exe tq~I8>rA  
_1i3wSaPa  
创建启动项： <gxa l  
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] Y
1Q5Q|;w\  
"svcshare"="%System%\drivers\spoclsv.exe" 1P5|4y'FU@  
;"WWHlo'
 
修改注册表信息干扰“显示所有文件和文件夹”设置： 8x^KpF  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL] wG #qQ  
"CheckedValue"=dword:00000000 X>< J2ts  
=$&DztS]  
在各分区根目录生成副本： |#j  $X0  
X:\setup.exe U/aphvR  
X:\autorun.inf miZW&Yr  
6iL%pu]M  
autorun.inf内容： 6j[h!Z.  
[AutoRun] &LBGvX7B  
OPEN=setup.exe 43rA81:0  
shellexecute=setup.exe br+/ciL@  
shell\Auto\command=setup.exe nA<(zK  
;8VKks6^  
尝试关闭下列窗口： /K|}&l?W  
QQKav tS&2Vy XS  
QQAV >vp;  
VirusScan Vj_m&cNe  
Symantec AntiVirus Qj,V2*FEp  
Duba #y_RQ5F  
Windows f7`UvP=  
esteem procs 8iob]?s  
System Safety Monitor k6Ai1xAZ  
Wrapped gift Killer 2QOuX|Ey  
Winsock Expert _"!)pvD  
msctls_statusbar32 ey7i@/=  
pjf(ustc) w ;rb?0p[?  
IceSword +8=/e-rw  
y?V'O:?  
结束一些对头的进程： UG{3j  
Mcshield.exe w\o:6<ut%  
VsTskMgr.exe 2z=. B  
naPrdMgr.exe DNz7X  
UpdaterUI.exe 8LTSn_-I  
TBMon.exe 3[up{f{nB  
scan32.exe DR$u
%g'  
Ravmond.exe u59bpbT  
CCenter.exe
T=Ij;}  
RavTask.exe E!lZC`  
Rav.exe K>U],$z
 
Ravmon.exe ,$XfH}N|6  
RavmonD.exe +wU@^  
RavStub.exe N9?ZK@  
KVXP.kxp 8RIDb_dz)  
KvMonXP.kxp U>&ibxJ  
KVCenter.kxp 7+9]h{R3!  
KVSrvXP.exe \WGQ*x  
KRegEx.exe e!=4n%{  
UIHost.exe F {}|pw  
TrojDie.kxp

po8(kis  
FrogAgent.exe U&r =n0b  
Logo1_.exe EOkmSy`  
Logo_1.exe t?:]~rZW
 
Rundl132.exe =rWjS  
qG#6:X}`A  
禁用一系列服务： &n8^  
Schedule !<-7RPJ  
sharedaccess z!{Mmm%f :  
RsCCenter SRP1mR  
RsRavMon <s#G;%  
RsCCenter w)R,|:C\  
RsRavMon ;z~M`C%  
KVWSC gBMU}^k  
KVSrvXP u 8l\S?8  
kavsvc Yz}2RZR9B  
AVP n;UO
/,Nb  
McAfeeFramework s3cV&!  
McShield M4Zyg.j!?8  
McTaskManager 9juha{c  
navapsvc Fr jK1 =%  
wscsvc JV1"=5nGs  
KPfwSvc 8rg;CL0  
SNDSrvc gu[s ~jU  
ccProxy d )~j!0  
ccEvtMgr fIsuZ?*TuB  
ccSetMgr `WS`)*%W[+  
SPBBCSvc }X}#j5  
Symantec Core LC '?Kq{  
NPFMntor {Ia )0jE  
MskService h6Vu%mlD  
FireSvc asZ|3q:Iv(  
|G}oKor  
删除若干安全软件启动项信息： {GB12`;e  
RavTask })p%457ti  
KvMonXP d99h+mkP  
kav T:yrw6d <x  
KAVPersonal50 ;0nX~Fr  
McAfeeUpdaterUI 9kH:w  
Network Associates Error Reporting Service = eyWsFN_  
ShStatEXE {mLl,  
YLive.exe _
uC
U!)  
yassistse +J"n#KP@  
_MSt"|I4t0  
使用net share命令删除管理共享： RC(.g-{  
net share X$ /del /y w6c=Q%  
net share admin$ /del /y CNNs3.'}  
net share IPC$ /del /y $={0z|%NwU  
dpL@VV|,  
遍历目录，感染除以下系统目录外其它目录中的exe、com、scr、pif文件： Bs($Qs\KI  
X:\WINDOWS wrMUw`&ca  
X:\Winnt 8D<N(WPL  
X:\System Volume Information :!2\|jP  
X:\Recycled ppQIig(  
%ProgramFiles%\Windows NT D D]"!D<g  
%ProgramFiles%\WindowsUpdate <h>cP:=  
%ProgramFiles%\Windows Media Player 7YVe0,>  
%ProgramFiles%\Outlook Express wiMl^z  
%ProgramFiles%\Internet Explorer {bvqK>&"o  
%ProgramFiles%\NetMeeting /VzgfA=N  
%ProgramFiles%\Common Files =e[?;Y  
%ProgramFiles%\ComPlus Applications Z9h9 ``pJ  
%ProgramFiles%\Messenger w`l17WQ%  
%ProgramFiles%\InstallShield Installation Information + _XJktj  
%ProgramFiles%\MSN Kn$sNN(  
%ProgramFiles%\Microsoft Frontpage
GOCt  
%ProgramFiles%\Movie Maker d[=a#  
%ProgramFiles%\MSN Gamin Zone `k9%Ij7v  
GkB~H{hWR  
将自身捆绑在被感染文件前端，并在尾部添加标记信息： q](-kz)   
.WhBoy{原文件名}.exe.{原文件大小}. K<eT.hD  
((r&#  
与之前变种不同的是，这个病毒体虽然是22886字节，但是捆绑在文件前段的只有22838字节，被感染文件运行后会出错，而不会像之前变种那样释放出{原文件名}.exe的原始正常文件。 E<S :qa  
0IJ,z(H;  
另外还发现病毒会覆盖少量exe，删除.gho文件。 \8&NU~(<'  
V;u79t3BZ  
病毒还尝试使用弱密码访问局域网内其它计算机： "A+\tjHc  
password s38q|~c^\  
harley T.cC-(M0BY  
golf Edl~h&R@W  
pussy g1*EW#+  
mustang h/xN&a;  
shadow wo F.Y%A]  
fish iDs3|$Q(R  
qwerty g?Q@[}jkN  
baseball (Mkf=n"3q  
letmein aI+]ZyoT  
ccc 5{N8;!@v  
admin d F zXSN/  
abc r"C_chefL  
pass a[qLBea*0  
passwd 2N_.M]z  
database TCv'x+k  
abcd FNB)5  
abc123 YED%  
sybase t Dk*pCR  
123qwe Y)kyv_7[  
server [~n*"sp
s  
computer CrMZ|fS  
super |Y#%(A  
123asd 5u}0[0Y*  
ihavenopass 1Fwe7_7w  
godblessyou 2A@Ils<  
enable Z+dQJO<}  
alpha %zxN&YD  
1234qwer 5uai_\U\  
123abc Rs0_?^_  
aaa uG)|$m:e  
patrick |RnuK<?v2l  
pat g@fC;U5HA  
administrator }<Hha?JM  
root 4YP-5L%S  
sex C'nx*67J"  
god #rfEx/?  
foobar J5%ig&6  
secret nbU}0yD  
test [aq>?&h  
test123 fXKV,86gJ  
temp '1U>=0ic  
temp123 47o@g d ?  
win @B[;[VEU  
asdf 1v~Fne5LV  
pwd ^% ,97 t  
qwer X+o0NLWr  
yxcv cl<{t53a  
zxcv ?H@cn?_Z]
 
home W|;s@6*W  
xxx
6>j:qBO4!  
owner DFRn$tY0^  
login #q)>L  
Login D%vIPc9f  
love VJxMq#8tF  
mypc "Xu7^\  
mypc123 7m0t Cq~sc  
admin123 ]^'f  
mypass nT<v)V  
mypass123 ?>ir<K\  
Administrator {s#xrP  
Guest 9\2R'*   
admin &xpm
'7I  
Root 99``(  
x|<W{N  
'z Ox  
清除步骤 WCB*1AP[_  
================================== txZCq,jf  
EgFA  
1. 断开网络 @ga19>  
j>92;o|  
2. 结束病毒进程 cTuXxk8  
%System%\drivers\spoclsv.exe u E15.sS  
l8ef9K1]P  
3. 删除病毒文件： yAgD_(U'  
%System%\drivers\spoclsv.exe ]tQjAhS"r  
(pc/Q=  
4. 右键点击分区盘符，点击右键菜单中的“打开”进入分区根目录，删除根目录下的文件： >{Hoz- }  
X:\setup.exe y$Ig,QhCD  
X:\autorun.inf 4?D^AG\  
,v]yC~=  
5. 删除病毒创建的启动项： #kIeHSng  
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] M:MyMS:  
"svcshare"="%System%\drivers\spoclsv.exe" .)Th|,]09  
A[a|x0*P  
6. 修改注册表设置，恢复“显示所有文件和文件夹”选项功能： y#)1a^7C/  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL] OlR;JjxzB  
"CheckedValue"=dword:00000001 p4Oyo{Q  
qclh{X V  
7. 修复或重新安装反病毒软件 Rf|O#i%F  
T>{Z dX  
8. 使用反病毒软件或专杀工具进行全盘扫描，清除恢复被感染的exe文件 Ro|YFEGS  

最快解决方法: '.lQ=jT  
]MO;BpNd  
PE 系统下运行专杀。清除＋修复。3分钟搞定～ hqU627<Rp  
Rv3jwUv4p  
我中的那次就是这么干的。哈哈哈～