熊猫病毒清除方法
近日，一名为”熊猫烧香”(Worm.WhBoy.h)的蠕虫病毒正在利用互联网进行疯狂作案，被感染的用户系统中所有.exe可执行文件全部被改成熊猫举着三根香的模样。”熊猫烧香”蠕虫不但可以对用户系统进行破坏，导致大量应用软件无法使用，而且还可删除扩展名为gho的所有文件，造成用户的系统备份文件丢失，从而无法进行系统恢复；同时该病毒还能终止大量反病毒软件进程，大大降低用户系统的安全性，而且内网传播速度极快！！下面是一些这个病毒的网友解决方案：医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学#b&Z"X8h6w)~ \8A
中国医学论坛|医学卫生讨论社区|医学招聘求职2V%Y*G*N#{;q7O*E:f+`-F0C+\
一、专杀工具
(b%e$~,|#C中国医生、医学生共同探讨，互相促进的医学卫生社区。超级巡警是一款用来自动解决如今泛滥的利用ROOTKIT的隐藏进程，隐藏文件，隐藏端口的各种HACKDEF、NTRootKit、灰鸽子、 PCSHARE、FU RootKit、AFX RootKit之类的木马，解决基于各种启动方式：SVCHOST宿主加载，进程感染， SPI链挂接的各种后门，对抗各种加壳变形以及版权伪装的后门，对抗越来越猖獗的流氓软件。它弥补传统杀毒软件的不足，提供非常有效的文件监控和注册表监控，使得你对系统的变化了如指掌。提供了多种专业级的工具，使得你可以自己手动分析，100%的查杀未知木马，亲自体验斩杀木马的快感！医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学)\0G;V6\&q:M2C9`7G
主要功能：启发预警，启动管理，IE插件管理，SPI链自动检测与修复，服务管理，隐藏服务检测，过滤微软默认服务，服务增加删除，SSDT(服务描述表)恢复，检测隐藏端口，断开连接，定位远程IP，WHOIS 查询，关闭端口，进程管理，DLL模块强制卸载，全面扫描，内存扫描，目录扫描，信任列表，实时监控，智能升级
;T#[.n4T)S2H%V7_下载地址：医学生论坛![4`&g#C9_'a:k1?
1.超级巡警[url=http://www.crsky.com/soft/8874.html][color=#8ab459]http://www.crsky.com/soft/8874.html[/color][/url]
.x.N0v#f0J.b医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学2.超级巡警官方网站：[url=http://dswlab.com/][color=#8ab459]http://dswlab.com/[/color][/url]医学生论坛'z-R @-|!i
二、手动清除
(a"i+c G$l:m4I*_医学生论坛1. 断开网络
:M*|;S(f-e'B6wbbs.yxsjy.net2. 结束病毒进程：%System%\drivers\spoclsv.exe中国医学论坛|医学卫生讨论社区|医学招聘求职3V&o5P:{7c3G+I
3. 删除病毒文件：%System%\drivers\spoclsv.exe
*j*l/H9F0x-a5V2K医学生论坛4. 右键点击分区盘符，点击右键菜单中的”打开”进入分区根目录，删除根目录下的文件：
)z7O4Y&h-k2}4bbbs.yxsjy.netX:\setup.exe X:\autorun.inf
)U9p;@1u&D6E中国医学论坛|医学卫生讨论社区|医学招聘求职5. 删除病毒创建的启动项：[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] “svcshare”=”%System%\drivers\spoclsv.exe”中国医生、医学生共同探讨，互相促进的医学卫生社区。+s1Q g+^&_
6. 修改注册表设置，恢复”显示所有文件和文件夹”选项功能：[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]bbs.yxsjy.net.T:G$V;L%`&x,A
“CheckedValue”=dword:00000001
,t"v1^+],K%X5[+B.I医学生论坛7. 修复或重新安装反病毒软件。bbs.yxsjy.net.?8L1B.[ D5\!l:V
8. 使用反病毒软件或专杀工具进行全盘扫描，清除恢复被感染的exe文件。
2Y!v%N7a6W.g'}.W中国医生、医学生共同探讨，互相促进的医学卫生社区。
6I*f5~"e8V(u)Fbbs.yxsjy.net如何对感染了病毒的EXE文件进行修复
;\'E$k6g'Q#w4a.u中国医学论坛|医学卫生讨论社区|医学招聘求职网上的最直接的杀毒方法就是把该文件在系统中删除，然后在注册表等位置中删除，最后就是把感染了的EXE文件给删除。这种方法的代价实在太大了，一个区区用Borland Delphi 6.0 - 7.0语言编写的病毒能有这样的威力吗？答案是否定的，但是给我们造成带来麻烦是肯定的（感染的 EXE文件我暂时还不知道有什么软件可以自动修复）。但是看到网上就有一个手动修复感染EXE文件的方法，就是用UE打开，然后。。。这种方法可能是可以的，但是未必谁都可以做得到，而且比较麻烦（现在做什么事都在讲效益吗^_^）遇到上百个感染了病毒的文件的话，就光修复就要搞很久。
6v!P(v'J+m O*o"{5Z中国医学论坛|医学卫生讨论社区|医学招聘求职其实有最直接的办法，就是直接双击这些感染了病毒的EXE文件，然后刷新，这样吸附在这些感染了病毒的EXE文件上的病毒就恶意代码就消失了。但是还有一个最最重要的问题，就是在在双击了一个感染了病毒的EXE文件后，系统又会自动生成一个恶意病毒的进程（Spoclsv.exe），那刚刚修复的系统盘中的方法预示着要重新做一次了。难道就是没有办法修复吗？那当然不是了，我在这里的建议就是感染了此类病毒的人，最好的办法就是马上把系统重装一次，然后装上一个叫PowerShadow的软件，进入其单一影子模式。然后再打开其他盘（当然不要双击进去啦），双击感染了病毒的EXE文件，然后刷新。这个EXE文件中的病毒就消失了，预示着这个EXE文件就此修复了。但是这个病毒又会在系统中生成一个Spoclsv.exe的进程，从而再不断感染系统中的文件。这个时候，你会发现打开任务栏管理器把这个进程进行关闭的时候，任务栏管理器一打开就马上就关闭了，打开什么进程杀手之类的都不行，这个时候就要利用到Dos了（我觉得Dos是最厉害的武器）。在命令行中输入taskkill,就可以清楚地看到Spoclsv这个进程的存在，我们就输入 tskill Spoclsv那这个进程就给关闭了，如此的反复直到把感染了病毒的EXE文件修复。在这里我们可以把这些命令做成一个批处理文件，那又方便很多了。中国医生、医学生共同探讨，互相促进的医学卫生社区。5U J/h2a5A%Q,W
打开一个记事本在里面输入tskill spoclsv，然后保存为名字任意的（。bat）文件就可以了，每运行一个感染的EXE文件之后，就双击一次这个批处理文件。
.C I,U*M'K;~中国医学论坛|医学卫生讨论社区|医学招聘求职最后把这个感染的EXE文件全部双击之后，到除了系统盘之外的每个盘中的根目录下，把那个setup.exe文件给删除和还有一大概叫 Desktop.ini的文件给删除就可以了。还有这个Desktop.ini文件在每个文件夹中都有一个，用搜索功能把其搜索出来给删除，那个大功告成了。最后不要忘记了把系统重新启动一次，把写入了系统盘的所有病毒给全部自动去除。2^3y"k+w&R%G)K'{#i
到此，所有的修复感染EXE文件的病毒的方法就全部结束了。
,n$r3b!d.W8W+@5X.b医学生论坛三、熊猫病毒相关知识2R%F6L*_0O1T3q"p
:T){/i6?9X6J1k8X.z中国医学论坛|医学卫生讨论社区|医学招聘求职近段时间，”熊猫烧香”(Worm.WhBoy.h) 蠕虫正处于急速变种期，仅11月份至今，变种数量已达10几个，变种速度之快，影响范围之广，与06年横行于局域网的”维金”不相上下。
!y1T(`"j;f,g(s0\7Z(g K
-J,}1p,E0h"F医学生论坛12月27日，我国知名计算机反病毒厂商江民科技发布紧急病毒警报，一伪装成”熊猫烧香”图案的病毒正在疯狂作案，已有数十家企业局域网遭受重创。来自我国不同地区的企业向江民反病毒中心举报，他们公司正在遭受不明病毒攻击，电脑中所有可执行的.exe文件都变成了一种怪异的图案，该图案显示为”熊猫烧香”，中毒症状表现为系统蓝屏、频繁重启、硬盘数据被破坏等等，严重的整个公司局域网内所有电脑全部中毒，公司业务几乎陷入停顿。广东、上海等地区也出现了类似病毒疫情，江民大客户技术服务部电话响个不停。迹象表明，”熊猫烧香”病毒有集中爆发可能。中国医学论坛|医学卫生讨论社区|医学招聘求职#d7A,l2k;d#G0?
江民反病毒工程师分析，该病毒为”威金”蠕虫病毒新变种，自从去年被截获以来，已经感染了超过30万台电脑，几乎每天都有新变种出现。该病毒可以通过局域网传播，病毒发作严重时可导致局域网瘫痪。而值得关注的是，感染该病毒的多数是没有安装网络版杀毒软件的小型企业用户。医学生论坛+m#H.|,x(I#Q Q
小企业局域网成重灾区医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学)S+J.R0n"^'Z)S;x
苏州经济园区的某企业高女士说，他们公司是一家金属制品的中小型公司，这两天公司的网络服务器突然出现频繁重启现象，经检查后发现，电脑中出现了五个不明文件，所有可执行文案都被改成一个奇怪的熊猫烧香图案，由于服务器故障，导致整个局域网全部瘫痪。北京某工程公司也出现了类似现象，更糟糕的是他们公司遭受病毒攻击的是财务部，整个财务部8台电脑频频出现蓝屏、死机现象，电脑中同样出现了”熊猫烧香”的图案，公司对外财务结算完全停顿，总经理为此大为光火。
1h/p0z5{9j.z&r医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学资料显示，我国目前有小企业1000万家以上，而近年来盛行的SOHO型家庭式创业型小公司更是不计其数，这些企业由于处于创业初期，往往在网络安全方面没有设防，多数企业仅靠安装一套单机版杀毒软件来防范病毒，由于单机版杀毒软件无法对威金此类通过局域网传播的病毒进行统一防杀，最终导致局域网内病毒屡杀不绝，病毒在通过网络在电脑间来回流窜，许多小企业局域网甚至长期”养”着一种以上的网络病毒。中国医学论坛|医学卫生讨论社区|医学招聘求职/M*w3p/V.P5]3|%`
江民反病毒工程师介绍，在他们接到的求助企业中，多数企业由于感染病毒导致业务不能正常开展，少则一两小时，多则一两天无法正常工作，产生的直接和间接损失远远超过购买一套网络版杀毒软件的价格。;C-`6L(d$\:_*T"F6X$N
单机版及病毒专杀无法杀尽局域网病毒
3{(H%Y+h"x!@据调查，超过70%的中小企业并不愿意选购网络版级的杀毒软件，而更倾向于单机版杀毒软件，而其中价格无疑是阻碍小企业应用网络版的最大障碍。网络版杀毒软件由于长期应用在高端企业市场，在普通用户心目中属于一种”奢侈”的产品，以拥有25台电脑的小企业局域网计算，国内主流的相同配置的网络版杀毒软件价格在10000到17000元之间，面对高高在上的价格，那些为了创业省吃俭用的SOHO一族需要下多大的决心才能购买！而更多的小企业主则在遭到病毒攻击时，被动地购买一套单机版杀毒软件应急。医学生论坛(p,m#\$J*g:|,j
尽管单机版杀毒软件甚至免费的专杀工具也能杀掉病毒，但在互联互通的局域里，这些杀毒软件和专杀工具却往往顾此失彼，通常是这台机器病毒杀掉了，却又感染给了另一台机器，来回反复，让网管员疲于应付。如果仅仅是几台电脑还可能用断开网线的方式逐台杀毒，而如果是数十台上百台电脑，对于网管员的来讲无疑是一场噩梦。中国医生、医学生共同探讨，互相促进的医学卫生社区。(D3J8q8h8V)C;L)r
江民反病毒专家介绍，由于单机版并不具备网络版杀毒软件的统一杀毒、统一监控、统一设置、统一升级、远程控制等功能，因此在对付局域网病毒上存在先天缺陷，对付通过局域网传播的网络病毒，只能利用网络版杀毒软件进行全网统一查杀。中国医学论坛|医学卫生讨论社区|医学招聘求职8R U1R1h$\*z&T%y'u-p2D
7g7i'L1L8h#S9Q.T%U,^5A档案编号：CISRT2006081
&|;w!L(X't(~'N!N$Y中国医生、医学生共同探讨，互相促进的医学卫生社区。病毒名称：Worm.Win32.Delf.bf（Kaspersky）
0W1O*l-^3P5J,?中国医生、医学生共同探讨，互相促进的医学卫生社区。病毒别名：Worm.Nimaya.d（瑞星）医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学6D.e"p:E#m1U*h'L*m4O!M
Win32.Trojan.QQRobber.nw.22835（毒霸）
0h1H.U:L6l医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学病毒大小：22,886 字节中国医学论坛|医学卫生讨论社区|医学招聘求职3r2J.W:m)g!`%u
加壳方式：UPack
%v4f0b"r9A(|"f8vbbs.yxsjy.net样本MD5：9749216a37d57cf4b2e528c027252062
0z+\,U:S5E%w4o%K&m#Q样本SHA1：5d3222d8ab6fc11f899eff32c2c8d3cd50cbd755"H)m#|"E9S s5f7v
发现时间：2006.11医学生论坛#m/I/b,g1x"a'v.}*t*U
更新时间：2006.11
0t/a"u)y X+@:x医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学关联病毒：
9X/t)@2h K#j6a:@(J2H.j医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学传播方式：通过恶意网页传播，其它木马下载，可通过局域网、移动存储设备等传播
$u9D/U*A7`医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学技术分析医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学;e'Z+s9b!e)a
==========医学生论坛8H)d+n*i;z4K5^9N;s3Z
又是”熊猫烧香”FuckJacks.exe的变种，和之前的变种一样使用白底熊猫烧香图标，病毒运行后复制自身到系统目录下：
;n7}.F0n&m0`,Z5M医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学%System%\drivers\spoclsv.exe
6^+K5L*\)P:D+h3F8T7O)P0\3j医学生论坛创建启动项：bbs.yxsjy.net9c'D9k%c+S1q2E4^+t/u9X*`
[Copy to clipboard]CODE:bbs.yxsjy.net#['?(T'R:V+d)]7~
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
-~4Y8j7Z5X“svcshare”=”%System%\drivers\spoclsv.exe”
"T9F$q0w(h$C"W0z0n中国医生、医学生共同探讨，互相促进的医学卫生社区。修改注册表信息干扰”显示所有文件和文件夹”设置：中国医学论坛|医学卫生讨论社区|医学招聘求职'z!m*\ _/{;T"j
[Copy to clipboard]CODE:中国医生、医学生共同探讨，互相促进的医学卫生社区。2F5}9u9K(i2x'|"b
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
0s9i1u2q%]-N,|*~“CheckedValue”=dword:00000000
$f#d,H-n4V医学生论坛在各分区根目录生成副本：
6k.`+u:\/|X:\setup.exe医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学#f%[)w e!t(z6J.a/A*N
X:\autorun.inf
!h#M:j2j#R8_,i!C医学生论坛autorun.inf内容：中国医生、医学生共同探讨，互相促进的医学卫生社区。9Z.p*H5O)L F8V;D1N
[Copy to clipboard]CODE:
!l4p N0_8y;K$C9e!O:u/b医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学[AutoRun]
6?"]7I*~,uOPEN=setup.exe
4n c0k'J8k"?-x中国医生、医学生共同探讨，互相促进的医学卫生社区。shellexecute=setup.exe
#D/c%U/s5O-K4Z;j.Kbbs.yxsjy.netshell\Auto\command=setup.exe医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学'X'J+s2z%y2^:R'W$~!y3I
尝试关闭下列窗口：
&z9P-V5w:D*C!@"P5t*@8Ibbs.yxsjy.netQQKav
+[ R"S(~1V*~!n0}医学生论坛QQAV医学生论坛'U$N0a/F(m;Z7O8K;F
VirusScan#_'^.Y6b%v"P z/Z,T
Symantec AntiVirus
6]9u*~"F*m K+A)h8O8r(S$Rbbs.yxsjy.netDuba中国医学论坛|医学卫生讨论社区|医学招聘求职&`9e2X-V5R#E
Windows
'J*H D9I5I0J1M+h中国医学论坛|医学卫生讨论社区|医学招聘求职esteem procs
,O"W(F/x9_%Z Jbbs.yxsjy.netSystem Safety Monitor
+a2@*l#u0m2h中国医学论坛|医学卫生讨论社区|医学招聘求职Wrapped gift Killer
0}#p8B/S5{*R医学生论坛Winsock Expert
!L/u#F2X"?msctls_statusbar32bbs.yxsjy.net8\5c-L"@ E"C'Z-q
pjf(ustc)
%B![ P'];["H/S医学生论坛IceSwordbbs.yxsjy.net3@ Y*Q2o2L6C+u
结束一些对头的进程：
8[6`&@0["A#_7e m8CMcshield.exe
$x)r;b5o)x2h.B中国医生、医学生共同探讨，互相促进的医学卫生社区。VsTskMgr.exe中国医生、医学生共同探讨，互相促进的医学卫生社区。0B.~&v#d&E$r/h#u0z
naPrdMgr.exe
+E/?+{%]6t+] ].{ U医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学UpdaterUI.exe
7o,g6s2{.]/["\"f/H0bTBMon.exe医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学:n4|"D"L*|#l'z8o7y
scan32.exe
/|5q:P&b/@医学生论坛Ravmond.exe
#Z(V+|6{9O7g$J2}!m.K)q医学生论坛CCenter.exe医学生论坛,e"P'q1Y4Q;k @6B0x-L
RavTask.exe%x7k6f1o'V*d
Rav.exe
2|&o:W#R,s.T6q-l6c"P:H)N医学生论坛Ravmon.exe
0c+q$m-^0u6l5o/a医学生论坛RavmonD.exe中国医学论坛|医学卫生讨论社区|医学招聘求职!T!v)B8H.S"b,r
RavStub.exe
9G:O7p"@3@.S*f中国医生、医学生共同探讨，互相促进的医学卫生社区。KVXP.kxp医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学#a%t%?.l&R&B8V2A
KvMonXP.kxp
:Y;O5{#Z(?%S,Vbbs.yxsjy.netKVCenter.kxp
+g6q5t8y9?*n6dKVSrvXP.exe
%U-v3X$P5n中国医生、医学生共同探讨，互相促进的医学卫生社区。KRegEx.exe医学生论坛5v7}!b)K)G
UIHost.exebbs.yxsjy.net/s(y&B*H9o#S!u
TrojDie.kxp
#C2z%[9D/^$S4U"^FrogAgent.exe中国医生、医学生共同探讨，互相促进的医学卫生社区。)]6K2j3_$r2Y
Logo1_.exe中国医学论坛|医学卫生讨论社区|医学招聘求职+{0Z ?-f2^)c+^2q
Logo_1.exe
8p;Z2y;C$d#^)n'o4H医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学Rundl132.exe
6Q*{8P1z)w2V!Z4\/K中国医学论坛|医学卫生讨论社区|医学招聘求职禁用一系列服务：
7s'|%~!S8\0B医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学Schedule
0j#} ~;Z g)P中国医生、医学生共同探讨，互相促进的医学卫生社区。sharedaccess医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学'w9K"?8P*p2@
RsCCenter
,J2m7|4S c+f#R(Obbs.yxsjy.netRsRavMon
&N8u"L;Y"x5I*?;|.c中国医学论坛|医学卫生讨论社区|医学招聘求职RsCCenter
4X%^%v's6w1l0E医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学RsRavMon
#T/y6D!k!F0N7i)`,W医学生论坛KVWSC医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学/p6u+R&d%h7I z5X
KVSrvXP
'[9}.x.}3R4l5H;[!N"ikavsvc
(a$S5O;L4w;V中国医学论坛|医学卫生讨论社区|医学招聘求职AVP
6V5I*U,z/G*Z/\!@(QMcAfeeFramework
#z-d K)y1{.F.z医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学McShield中国医学论坛|医学卫生讨论社区|医学招聘求职2H'F"X%j9H _
McTaskManager
)j,N(u!z-h%snavapsvc
'Z/n"[)Z"E中国医学论坛|医学卫生讨论社区|医学招聘求职wscsvc
,w0K#r U.}0P!k s"h:m医学生论坛KPfwSvc医学生论坛)Z&X5K$U-I
SNDSrvc
.C"R-G"H5Q+h7`;o中国医学论坛|医学卫生讨论社区|医学招聘求职ccProxybbs.yxsjy.net"Y0n2U1S)O
ccEvtMgr
/|1M;l&o(@5r7]*h4U5A医学生论坛ccSetMgr
9{+m6c;q7Z-G"\(x!Y1Ebbs.yxsjy.netSPBBCSvc
6I'x)w'x1{&e医学生论坛Symantec Core LC中国医生、医学生共同探讨，互相促进的医学卫生社区。9y9c$z:k+B0^
NPFMntor医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学$n4w+_+v#T-p1^'[
MskService
%E&b t$v-obbs.yxsjy.netFireSvc医学生论坛#f e;P2N4a;d/x(m)P
删除若干安全软件启动项信息：bbs.yxsjy.net `3y1p&B8I#g#i)[8`8G
RavTask医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学+L+l5M,P1s*r#@8e
KvMonXP
%z'B+F$c)o0}!Okavbbs.yxsjy.net(x&]!W3F(P#F
KAVPersonal50
/k;o!U-r:I6f1?McAfeeUpdaterUI医学生论坛&w }){:v&@(C0\ V$u
Network Associates Error Reporting Servicebbs.yxsjy.net0c6?7y'd%p:Q
ShStatEXE
3W,c)Z"w7\,X医学生论坛YLive.exe)O'Z(N,p$x
yassistse医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学2\ T*E7Z*z8V:?
使用net share命令删除管理共享：
2Q6j,C7d0O+|%{(e8c医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学[Copy to clipboard]CODE:
4M%m3N8e1j0e)a8_8Lnet share X$ /del /y
7F(k)T,P8m$v3Z3L4X8z1_net share admin$ /del /y
7S#v/a.\1P |:R.A7I2{医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学net share IPC$ /del /y中国医学论坛|医学卫生讨论社区|医学招聘求职0[/Z8`4a5d,[
遍历目录，感染除以下系统目录外其它目录中的exe、com、scr、pif文件：
0U1I$H!\9\9y医学生论坛X:\WINDOWS医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学#a#\-I0K:p U"P,c:[
X:\Winnt医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学$w&S,t"O!?
X:\System Volume Information
'|-C-z'[:q.S+\3}中国医生、医学生共同探讨，互相促进的医学卫生社区。X:\Recycled
)A:u$`!o2Y2Y.O中国医学论坛|医学卫生讨论社区|医学招聘求职%ProgramFiles%\Windows NT
7t-`;L6t0n&^&N医学生论坛%ProgramFiles%\WindowsUpdate
8c(G9v ['{&D医学生论坛%ProgramFiles%\Windows Media Player中国医学论坛|医学卫生讨论社区|医学招聘求职&J4g5_2?)c!C-B4L"E
%ProgramFiles%\Outlook Express中国医生、医学生共同探讨，互相促进的医学卫生社区。#j*L1h$~4m5K
%ProgramFiles%\Internet Explorerbbs.yxsjy.net4[!C$l6^8Q'S6d9D&G&J
%ProgramFiles%\NetMeeting
:i:B1I6g/U1Y.V医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学%ProgramFiles%\Common Files医学生论坛6n'M.^4N/^ D(U7B7Z
%ProgramFiles%\ComPlus Applications
)Q*D$Y7s(L中国医学论坛|医学卫生讨论社区|医学招聘求职%ProgramFiles%\Messenger中国医学论坛|医学卫生讨论社区|医学招聘求职,w3h9i"y*Z.V%b
%ProgramFiles%\InstallShield Installation Information中国医生、医学生共同探讨，互相促进的医学卫生社区。)b-j3h;\3s3g0s,p
%ProgramFiles%\MSNbbs.yxsjy.net*@.l&c4o#V0u
%ProgramFiles%\Microsoft Frontpage医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学:k(K"v8d1X)K
%ProgramFiles%\Movie Maker
#O8r9J$?4k$c"e#s医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学%ProgramFiles%\MSN Gamin Zone
,k#k4_6?;A/n+H中国医学论坛|医学卫生讨论社区|医学招聘求职将自身捆绑在被感染文件前端，并在尾部添加标记信息：
+g&X9^+_1a*W3z)P$D6H1];i.WhBoy{原文件名}.exe.{原文件大小}.
!V;p$Z+D;W.u%S6\7w与之前变种不同的是，这个病毒体虽然是22886字节，但是捆绑在文件前段的只有22838字节，被感染文件运行后会出错，而不会像之前变种那样释放出{原文件名}.exe的原始正常文件。
*g5Z t*L/d$]另外还发现病毒会覆盖少量exe，删除.gho文件。中国医生、医学生共同探讨，互相促进的医学卫生社区。3?!^#k-]"@"w:B6J5J
病毒还尝试使用弱密码访问局域网内其它计算机：中国医生、医学生共同探讨，互相促进的医学卫生社区。,b.H6?7r;m$}
password
%t*w.h;V8D p医学生论坛harleybbs.yxsjy.net H-D D;o5^
golf
;x$A3~&n#M)V#I2j中国医学论坛|医学卫生讨论社区|医学招聘求职pussy
%X.Y,U1J)Q1r/O*c cbbs.yxsjy.netmustang中国医生、医学生共同探讨，互相促进的医学卫生社区。'i'|3T'N!y
shadow
(s'C%U,i&g6b医学生论坛fish
)d!U$j5w%m g%}0r:?!f8\医学生论坛qwerty中国医生、医学生共同探讨，互相促进的医学卫生社区。#f/V1e-o3^
baseballbbs.yxsjy.net%i$Z(c;V-p
letmein
3\&j't+V-H9f'?.e6H2g#Fccc
$F%Q)w4l.?;[%D9W,g-J+q医学生论坛admin
6f(K%a2M)E1P*\+[abc
(p8@&n:E4?5P9H$tbbs.yxsjy.netpass医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学5h-@1R0L1F ^)D
passwdbbs.yxsjy.net1j$k.i6B%@'c'E:Y(i)Z
database
#f$|5z1H2R$x1Gbbs.yxsjy.netabcd
5u1g$u&@2x0^:P*K+L-O中国医生、医学生共同探讨，互相促进的医学卫生社区。abc123
!Z!j"x8d'I#e)o2[$I5Z4A医学生论坛sybase
/_;Y m/k.[1U j P中国医学论坛|医学卫生讨论社区|医学招聘求职123qwe中国医生、医学生共同探讨，互相促进的医学卫生社区。${9R+S&V*j6B;j
server
!i$E"V7f)P0o.rcomputer中国医生、医学生共同探讨，互相促进的医学卫生社区。-E/M#^(k2X3}:r
superbbs.yxsjy.net*V1|-v1h:_8j6S+X;}
123asd
1S+R7g*R*M1F$|!@ gbbs.yxsjy.netihavenopass中国医生、医学生共同探讨，互相促进的医学卫生社区。'x5a,H7w(d
godblessyou
+z0~+S&h b3t w8f+A;b中国医学论坛|医学卫生讨论社区|医学招聘求职enable
(W9a*u4d8~*C/H医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学alpha
0y2M+k;].}/i'w&c中国医生、医学生共同探讨，互相促进的医学卫生社区。1234qwer中国医生、医学生共同探讨，互相促进的医学卫生社区。$u5@(i!S+O$\%K6`8S:n:o
123abc
3E,^9d3L2{!@2_中国医生、医学生共同探讨，互相促进的医学卫生社区。aaa中国医生、医学生共同探讨，互相促进的医学卫生社区。1O#G1u0f8w%|'y
patrick中国医生、医学生共同探讨，互相促进的医学卫生社区。6V7?7R3s$p&?$W
pat
%e&C2E-r/g2c-M.I-Z9w1jadministrator中国医生、医学生共同探讨，互相促进的医学卫生社区。8o+S9S |%R8K
root
3p6Q8r)g*u0K'}中国医生、医学生共同探讨，互相促进的医学卫生社区。sex医学生论坛.b#y%K(Q:[.f't
godbbs.yxsjy.net6D:W4r9_4p'f.j)U3U
foobar
+h4h K.H,xsecret中国医学论坛|医学卫生讨论社区|医学招聘求职9T.H(N!G2E1y9[
test医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学%X-l+T'e7m(w
test123
3l%a1B6y+d&Z医学生论坛tempbbs.yxsjy.net/V#d"R!R5`!R'[7h0W'i
temp123
$R"u7u3u0^4J'A)q w$z5}医学生论坛win
:| r(A/`:\1Uasdf中国医生、医学生共同探讨，互相促进的医学卫生社区。!x9q;s8P,a9L6f"l'r)c
pwd医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学!e1G-^,m7u4u
qwer医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学,g$?+?'O2l(G9v/`,M6_
yxcv
:{8n"s'R"^0c0`医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学zxcv中国医生、医学生共同探讨，互相促进的医学卫生社区。3l;p7C6i$C)R/d:Q
home
:I:A8{*S)i*[,K-H!E,i(E医学生论坛xxx
:V9d8g3y1C1Qowner
7}6j(@5[&u$cbbs.yxsjy.netlogin
/N+g3R2O!Z%U Hbbs.yxsjy.netLogin医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学.J/Y;k%o,q4?9?:J'o.b
love
;[3e:K'|:o2d%{5tbbs.yxsjy.netmypc
4~(B/[0F0@-S1M"E$d2|mypc123
7s+z$H*x0R1~中国医学论坛|医学卫生讨论社区|医学招聘求职admin123
&}+C5W-R1d6f%f!dbbs.yxsjy.netmypass
%C"V!E0M&`!H中国医学论坛|医学卫生讨论社区|医学招聘求职mypass123
3p&H/o$d!G$d;s/]1w4E中国医学论坛|医学卫生讨论社区|医学招聘求职Administrator
/y)R.H!}8c1A-n n:y中国医生、医学生共同探讨，互相促进的医学卫生社区。Guest
7P0f.q*i4H1@admin医学生论坛 医学招聘 医学生求职 医生招聘 医学影像 医学教育 临床医学.~,s%m+f%A7q(L7i
Root
5J&P6G&\4]*L7f9@'W中国医生、医学生共同探讨，互相促进的医学卫生社区。[url=http://www.tyxk.cn/tag/%E7%86%8A%E7%8C%AB%E7%83%A7%E9%A6%99][color=#8ab459]熊猫烧香[/color][/url] [url=http://www.tyxk.cn/tag/%E7%86%8A%E7%8C%AB%E7%97%85%E6%AF%92%E4%B8%93%E6%9D%80][color=#8ab459]熊猫病毒专杀[/color][/url] [url=http://www.tyxk.cn/tag/%E8%B6%85%E7%BA%A7%E5%B7%A1%E8%AD%A6][color=#8ab459]超级巡警[/color][/url]
