Simone
天才是天才，但是用错地方了！！！！！！！！！！可恶，那次害得我的电脑中了病毒，杀毒软件无法启动！熊猫烧香”其实是一种蠕虫病毒的变种，而且是经过多次变种而来的。尼姆亚变种W(Worm.Nimaya.w)，由于中毒电脑的可执行文件会出现“熊猫烧香”图案，所以也被称为“熊猫烧香”病毒。用户电脑中毒后可能会出现蓝屏、频繁重启以及系统硬盘中数据文件被破坏等现象。同时，该病毒的某些变种可以通过局域网进行传播，进而感染局域网内所有计算机系统，最终导致企业局域网瘫痪，无法正常使用。 “熊猫烧香”（“威金”病毒变种） 病毒特征 1、这个病毒关闭众多杀毒软件和安全工具 2、循环遍历磁盘目录，感染文件，对关键系统文件跳过 3、感染所有EXE、SCR、PIF、COM文件 4、感染所有.htm/.html/.asp/.php/.jsp/.aspx文件，添加木马恶意代码 5、自动删除*.gho文件（ghost系统备份镜象文件） 6，病毒攻击计算机弱口令以及利用微软自动播放功能 7更改图标为烧香熊猫（有的变种可能不会使用熊猫的图标而换做其他的图标） “尼姆亚（Worm.Nimaya）”病毒：警惕程度★★★☆，蠕虫病毒，通过感染文件传播，依赖系统：WIN 9X/NT/2000/XP。 诱使用户运行。病毒运行后，会自动查找Windows格式的EXE可执行文件，并进行感染。由于该病毒编写存在 问题，用户的一些软件可能会被其损坏，无法运行。 建议你去瑞星官网下个专杀工具。 据悉，由于受台湾地区地震影响，一部分使用国外防病毒软件的计算机用户无法顺利升级其病毒代码库，致使“威金”蠕虫病毒新变种更加猖獗。针对这一突发情况，国内的防病毒厂商，包括瑞星公司、江民公司、金山公司分别推出一个月免费版本的防病毒软件供计算机用户下载使用，来应对这次突发事件。 病毒名： 中文：熊猫烧香病毒（又称武汉男生） 英文：Worm.WhBoy 目前发现的变种数已超过50个 典型表现： 感染病毒后发现较多的.EXE文件图标变成点着香的熊猫，这也是该病毒命名的由来。现在发现的部分变种已经不再使用这个广为人知的图标了。部分变种可以直接通过互联网更新版本，部分变种可以感染htm、html、asp、php、jsp、aspx等网页格式文件。一段web服务器被感染，将意味着所有浏览这些网页的计算机可能会自动下载并感染上熊薯衡猫烧香病毒。 该系列变种会释放以下几个典型文件 分区根目录下：setup.exe、autorun.inf、%System%\Fuckjacks.exe、%System%\Drivers\spoclsv.exe 局域网环境下：GameSetup.exe 病毒行为： 1、删除常用杀毒软件在注册表中的启动项或丛纤服务，终止杀毒软件的进程，几乎涉及目前所有杀毒软件 2、终止部分安全辅助工具的进程，如IceSword，任务管理器taskmon。 3、终止维金的相关进程Logo1_.exe、Logo_1.exe、Rundl123.exe。 4、弱口令破解局域网其他电脑的Administror帐号，并用GameSetup.exe进行复制传播。 5、修改注册表键值，导致不能查看隐藏文件和系统文件。 6、除C盘如下目录外，病毒会尝试破坏其它分区下的部分.exe、.com、.gho、.pif、.scr文件，病毒不会去感染以下目录中的文件（给我们解决此病毒留下机会了，请看下文中的有关描述）。 WINDOW，Winnt，System Volume Information，Recycled，Windows NT，数郑做Windows Update，Windows MediaP，Outlook Express，Internet Explorer，NetMeeting，Common Files，ComPlus Applications，Messenger，InstallShield Installation Information，MSN，Microsoft Frontpage，MovieMaker，MSN GaminZone 7、病毒会删除扩展名为gho的文件，该文件是一系统备份工具GHOST的备份文件，使用户的系统备份文件丢失。 解决办法： 1、首选专杀工具 专杀工具是效能最好的方案，能处理已知变种，缺点是有新变种后，专杀也需要更新。推荐去www.xiongmaoshaoxiang.com下载专杀。 2、在线杀毒 因为熊猫烧香病毒的特殊性，杀毒软件本身可能会被感染，病毒还会尝试结束杀毒软件进程和服务，但病毒不感染IE浏览器，用浏览器加载在线杀毒控件来清除病毒可以收到奇效。已经中招的，可以去shadu.duba.net试试。 3、重启系统到带网络连接的安全模式，升级杀毒软件后杀毒。可单击开始，运行，输入msconfig，打开系统配置实用程序，点击BOOT.INI标签，作如图修改，重启即可进入带网络连接的安全模式。 4、手工清除 因为熊猫烧香病毒是感染型的病毒，手工清除相当麻烦，网友公布的手工清除方案只能手工结束病毒进程，一段运行了感染过熊猫烧香病毒的程序，还会再中招。以下简单介绍手工结束病毒进程，修复注册表项的步骤： a.断开网络，禁用网卡或拔掉网线就行； b.结束病毒进程，因为任务管理器、IcdSword已无法运行，已感染病毒的机器上很难实现。建议去http://www.microsoft.com/technet/sysinternals/ProcessesAndThreads/ProcessExplorer.mspx下载一个Process Explorer备用，郁闷的是光缆没修好，官网下载速度巨慢。可以百度一下，到新浪、华军、天空去下载。如果在进程中发现FuckJacks.exe、setup.exe、spoclsv.exe（注意和正常的打印服务就差一个字母，打印服务文件名为spoolsv.exe），就用这个工具结束掉。 c.在本地计算机上搜索并删除以下病毒执行文件： 分区根目录下：setup.exe、autorun.inf（这个本身不是病毒，但它的存在是为了双击磁盘自动调用病毒程序，建议删了吧） %System%\Fuckjacks.exe；%System%\Drivers\spoclsv.exe 局域网环境下：GameSetup.exe d. 开始-->运行—>输入regedit，确定后，打开注册表编辑器，删除病毒创建的启动项： [HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Run] "FuckJacks"="%System%＼FuckJacks.exe [HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Run] "svohost"="%System%＼FuckJacks.exe" 浏览到〔HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL〕，单击右键，点新建——Dword值——命名为CheckedValue（如果已经有，可以删除后重建），修改它的键值为1,为十六进制，按确定后，退出注册表编辑器。以恢复文件夹选项中的“显示所有隐藏文件”和“显示系统文件” e.修复或重新安装反病毒软件，以恢复被病毒删除的注册键值，恢复杀毒软件的功能。 f.最后，还是要更新反病毒软件全盘扫描，把感染的EXE程序、网页格式的文件修复。特别提醒网页编辑，一定要保护好自己编辑的Web文档，保护好自己的Web服务器，如果发现网站上传文件带毒，应该及时删除，重新上传。 有关该病毒的预防，请参考www.xiongmaoshaoxiang.com上介绍的方法，或者看这里http://www.duba.net/zt/panda/ 。特别提示一下，今天更新的金山毒霸已经集成了针对熊猫烧香病毒的免疫功能，对预防熊猫烧香病毒会起到遏制作用。 参考资料：腾讯安全病毒 熊猫烧香病毒制作者年仅25岁 称是为显示技术高 湖北省公安厅昨日宣布，在各地公安机关的配合下，湖北网监一举侦破了制作传播“熊猫烧香”病毒案，抓获李俊（男，25岁，武汉新洲区人）等犯罪嫌疑人6名。据了解，这是我国破获的国内首例制作计算机病毒的大案。 “熊猫烧香”病毒是2006年底最肆虐的计算机网络病毒，电脑感染该病毒后，所有可执行文件（.exe）的图标都变成了熊猫烧香的形象：双手合十举着三根香，两眼微闭，一脸虔诚。 同时该病毒还具有盗取用户游戏账号、QQ账号等功能。 “熊猫烧香”病毒变种频繁、传播速度非常快，危害范围很广。截至目前，已有上百万个人用户、网吧及企业局域网用户遭受感染和破坏，引起社会各界高度关注。《瑞星2006安全报告》将其列为十大病毒之首，在《2006年度中国大陆地区电脑病毒疫情和互联网安全报告》的十大病毒排行中一举成为“毒王”。 金山毒霸反病毒专家戴光剑介绍，仅从去年12月份开始，“熊猫烧香”的变种数已达50多个，感染用户的数量也在不断扩大，最著名的变种有“金猪报喜”等，能感染系统中exe、com、pif、src、html、asp、sp等文件，被感染的电脑中不但“熊猫”成群，而且“金猪”满圈。它的破坏力很强，给用户的电脑系统造成巨大的危害，导致大量应用软件无法应用。 今年1月中旬，湖北省网监部门根据公安部公共信息网络安全监察局的部署，对“熊猫烧香”病毒的制作者开展调查。经查，熊猫烧香病毒的制作者为湖北省武汉市李俊，据李俊交代，其于2006年10月16日编写了“熊猫烧香”病毒并在网上广泛传播，并且还以自己出售和由他人代卖的方式，在网络上将该病毒销售给120余人，非法获利10万余元。经病毒购买者进一步传播，导致该病毒的各种变种在网上大面积传播，对互联网用户计算机安全造成了严重破坏。 据了解，李俊还于2003年编写了“武汉男生”病毒、2005年编写了“武汉男生2005”病毒及“QQ尾巴”病毒。另外，本案另有几个重要犯罪嫌疑人雷磊（男，25岁，武汉新洲区人）、王磊（男，22岁，山东威海人）、叶培新（男，21岁，浙江温州人）、张顺（男，23岁，浙江丽水人）、王哲（男，24岁，湖北仙桃人）通过改写、传播“熊猫烧香”等病毒，构建“僵尸网络”，通过盗窃各种游戏和QQ账号等方式非法牟利。戴光剑之前接受上海东方早报记者采访时曾经判断，在对“熊猫烧香”病毒防杀过程中，已经发现了病毒在变形过程中可能有人主动操纵，从而获利。 根据统一部署，湖北网监在浙江、山东、广西、天津、广东、四川、江西、云南、新疆、河南等地公安机关的配合下，一举侦破制作传播“熊猫烧香”病毒案，并将6名犯罪嫌疑人抓获。 据办案民警透露，李俊具备较高的编程技术。李俊被抓后，并没有意识到自己制作传播病毒是犯法的。民警告诉记者，李俊被捉后称，自己编写“熊猫烧香”病毒是为了显示自己技术高超。 目前，6名犯罪嫌疑人已被刑事拘留。 嫌疑人档案 李俊 男 25岁 湖北省武汉新洲区人 2003年编写“武汉男生”病毒 2005年编写“武汉男生2005”病毒及“QQ尾巴”病毒 “熊猫烧香”病毒 该病毒通过多种方式进行传播，并将感染的所有程序文件改成熊猫举着三根香的模样。该病毒具有盗取用户游戏账号、QQ账号等功能。感染的计算机还会出现蓝屏、频繁重启以及文件被破坏等现象。该病毒会在中毒电脑中所有的网页文件尾部添加病毒代码。截至案发为止，已有上百万个人用户、网吧及企业局域网用户遭受感染和破坏。《瑞星2006安全报告》将其列为十大病毒之首，在《2006年度中国大陆地区电脑病毒疫情和互联网安全报告》的十大病毒排行中一举成为“毒王”。 早报记者 殷玉生 参考资料：http://news.sohu.com/20070213/n248205274.shtml
