返回信息流信人: Moa (修身 齐家 治国 平天下), 信区: Virus
标 题: zz 熊猫烧香病毒清除手记
发信站: 水木社区 (Fri Jan 19 23:09:07 2007), 站内
zz from zol bbs
昨天公司数台电脑中了 “熊猫烧香”病毒 症状为杀毒软件进程被关闭 无法打开注册表和任务管理器 ，有很多图标变为熊猫烧香，进安全模式发现注册表中杀毒软件的启动进程被删除 多了 很多 zaq 起头的进程 和一个spoclsv.exe的进程。
发现问题后，我习惯性的到网络收藏夹上查找病毒的相关信息，链接如下：
http://www.sou7g.com/cSearch.jsp?u=0&c=u70&st=&k=%D0%DC%C3%A8%C9%D5%CF%E3
发现各大杀毒软件都推出了专杀工具，当然是通通下载下来 ，杀！全部使用过后发现只有江民的专杀工具可以有效的清除病毒。
然后是手动的步骤，网上有很多相关文章，为方便大家，转贴一篇（用江民杀毒后，很多病毒文件都可能已被删除，改注册表，删autorun.ini即可）
1. 断开网络
2. 重起机器。按F8进入安全模式，利用我以前的一篇文章
标题：恢复查看隐藏的文件和文件夹
地址：http://www.resume-cn.com/myblog/article.asp?id=160
来恢复查看隐藏的文件和文件夹的功能，也可以直接修改注册表文件
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
此步骤很重要负责你用杀毒软件或专杀也不回有任何效果，虽然瑞星等很多都可以查杀该病毒，但是病毒文件被隐藏后不能被查杀！所以有些朋友用软件查不到病毒。
上述步骤后删除病毒文件：
%System%\drivers\spoclsv.exe （半透明隐藏文件）
4. 右键点击分区盘符，点击右键菜单中的“打开”进入分区根目录，删除根目录下的文件（特别注意只能"右键--打开"个分盘，而不能双击打开，因为病毒可以借助微软“自动播放”功能，在用户每次双击硬盘时即可自动启动运行。）：
X:\setup.exe
X:\autorun.inf(此时删除后不会再出现)
5. 删除病毒创建的启动项：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"svcshare"="%System%\drivers\spoclsv.exe"
7. 修复或重新安装反病毒软件(.exe应用文件已经被感染过)
杀毒感想：用搜齐集（www.sou7g.com）的网络收藏夹功能来查找，保证了我可以在第一时间找到相关病毒信息和杀毒方法，几大杀毒网站的有关“熊猫烧香”的信息在一个页面里面一目了然。
这是一条镜像帖。来源：北邮人论坛 / security / #7727同步于 2007/1/20
该镜像源已超过 30 天没有更新，可能在源站已被删除。
Security机器人发帖
zz 熊猫烧香病毒清除手记
Tidy
2007/1/20镜像同步3 回复
订阅后，新回复会通过你的通知中心匿名送达。
3 条回复