【02-02】 个人对“熊猫烧香”病毒的解决方案。

kianshin

公司局域网估计70台机器左右吧，就在突然间全部开始“烧香”了，中毒最轻的是office的exe文件被篡改不能使用，最重的是，电脑所有程序不能运行，打开任何exe文件都是立即关闭，任务管理器，以及注册表也是打开立即自动关闭。
但是因为本人刚刚调动岗位，不再负责网络，所以不方便处理局域网内的，但是对自己的电脑还是有处理权的，因为熊猫在局域网内传播的很厉害，所以只清除自己电脑，基本没用，一个星期，无论我重装系统，无论我如何打补丁，但是仍然感染，我电脑用了nod32+look n stop，修改了administrator密码，用普通用户登陆，但是仍然阻挡不了熊猫跑到我的机器里面，下载了网上说的什么瑞星的熊猫专杀工具也不管用（我怀疑这个病毒就是瑞星公司弄的，为什么他们那么快就出了专杀？虽然后来基本不管用了）。甚至网上还流传用firefox2浏览器就没有问题，但是我装了后仍然感染。。。。。基本上每天我的应用程序都要重新安装一遍。。。。

　　于是考虑到如何防范熊猫这样的病毒

　　我又上网查了n多资料，而且请教了几位团队朋友。

　　终于找到一种防范的方法
不过可能对以后安装游戏之类的增添一点麻烦

　　方法如下：


第一步：制作免疫补丁（批处理内容）
echo > c:\windows\Logo1.exe
echo > c:\windows\Logo_1.exe
echo > c:\windows\Logo1_1.exe
echo > c:\windows\Logo1_.exe
echo > c:\windows\0Sy.exe
echo > c:\windows\1Sy.exe
echo > c:\windows\2Sy.exe
echo > c:\windows\3Sy.exe
echo > c:\windows\4Sy.exe
echo > c:\windows\5Sy.exe
echo > c:\windows\6Sy.exe
echo > c:\windows\7Sy.exe
echo > c:\windows\8Sy.exe
echo > c:\windows\9Sy.exe
echo > c:\windows\1.com
echo > c:\windows\rundll32.exe
echo > c:\windows\rundl132.exe
echo > c:\windows\vDll.dll
echo > c:\windows\exerouter.exe
echo > c:\windows\EXP10RER.com
echo > c:\windows\finders.com
echo > c:\windows\Shell.sys
echo > c:\windows\smss.exe
echo > c:\windows\kill.exe
echo > c:\windows\sws.dll
echo > c:\windows\sws32.dll
echo > c:\windows\tool.exe
echo > c:\windows\tool2005.exe
echo > c:\windows\tool2006.exe
echo > c:\windows\tools.exe
echo > c:\windows\finders.exe
attrib c:\windows\Logo1.exe +s +r +h
attrib c:\windows\Logo_1.exe +s +r +h
attrib c:\windows\Logo1_1.exe +s +r +h
attrib c:\windows\Logo1_.exe +s +r +h
attrib c:\windows\0Sy.exe +s +r +h
attrib c:\windows\1Sy.exe +s +r +h
attrib c:\windows\2Sy.exe +s +r +h
attrib c:\windows\3Sy.exe +s +r +h
attrib c:\windows\4Sy.exe +s +r +h
attrib c:\windows\5Sy.exe +s +r +h
attrib c:\windows\6Sy.exe +s +r +h
attrib c:\windows\7Sy.exe +s +r +h
attrib c:\windows\8Sy.exe +s +r +h
attrib c:\windows\9Sy.exe +s +r +h
attrib c:\windows\1.com +s +r +h
attrib c:\windows\rundl132.exe +s +r +h
attrib c:\windows\rundll32.exe +s +r +h
attrib c:\windows\vDll.dll +s +r +h
attrib c:\windows\exerouter.exe +s +r +h
attrib c:\windows\EXP10RER.com +s +r +h
attrib c:\windows\finders.com +s +r +h
attrib c:\windows\Shell.sys +s +r +h
attrib c:\windows\smss.exe +s +r +h
attrib c:\windows\kill.exe +s +r +h
attrib c:\windows\sws.dll +s +r +h
attrib c:\windows\sws32.dll +s +r +h
attrib c:\windows\tool.exe +s +r +h
attrib c:\windows\tool2005.exe +s +r +h
attrib c:\windows\tool2006.exe +s +r +h
attrib c:\windows\tools.exe +s +r +h
attrib c:\windows\finders.exe +s +r +h
==================================================================
第二步：巩固免疫补丁，禁止免疫补丁运行。（注册表内容）
Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\本地
User\Software\Microsoft\Windows\CurrentVersion\Policies\ Explorer\DisallowRun]
"**delvals."=" "
"1"="Logo1.exe"
"2"="Logo_1.exe"
"3"="Logo1_1.exe"
"4"="Logo1_.exe"
"5"="0Sy.exe"
"6"="1Sy.exe"
"7"="2Sy.exe"
"8"="3Sy.exe"
"9"="4Sy.exe"
"10"="5Sy.exe"
"11"="6Sy.exe"
"12"="7Sy.exe"
"13"="8Sy.exe"
"14"="9Sy.exe"
"15"="1.com"
"16"="rundll32.exe"
"17"="rundl132.exe"
"18"="vDll.dll"
"19"="exerouter.exe"
"20"="EXP10RER.com"
"21"="finders.com"
"22"="Shell.sys"
"23"="smss.exe"
"24"="kill.exe"
"25"="sws.dll"
"26"="sws32.dll"
"27"="tool.exe"
"28"="tool2005.exe"
"29"="tool2006.exe"
"30"="tools.exe"
"31"="finders.exe"
===============================================
第三步，加强系统自身安全性（P处理内容）
@echo off
echo 程序运行中......
echo y|cacls e:\ /p everyone:r
echo y|cacls f:\ /p everyone:r
（P处理内容说明：禁止在E盘，F盘跟目录下创建任何文件及文件夹）
===========================================================
第四步：增强文件权限安全，防止病毒感染（P处理内容）
e:
cd e:\netgames
cacls *.exe /t /e /g /everyone:r
cacls *.exe /t /e /p /everyone:r
cacls *.dll /t /e /g /everyone:r
cacls *.dll /t /e /p /everyone:r
（P处理内容说明：该批处理会把e:\netgames文件夹下所有的exe和dll文件属性设为只读,同步更新软件会复制文件的只读属性，文件在只读状态下无法修改和保存,但不影响更新和删除（服务器上也必须做这一步）
附：有人问了，用了第三步，那管理员要在其盘符下创建文件夹怎么办？不用着急，运行下面的P处理就解决了。
@echo off
echo 程序运行中......
echo y|cacls e:\ /g everyone:f
echo y|cacls f:\ /g everyone:f
===============================完====================================
第3步修正：网络游戏及QQ等一些东西~必须在盘符下建2级目录。如：e:\net+game\netgame，所有游戏都放在里面，
执行P处理，批处理内容为：
echo y|cacls e:\ /p everyone:r
echo y|cacls e:\net+game /p everyone:n
参数R是只读，N是取消一切权限，切记，一定要建二级目录，在二级目录下的一切操作不受任何限制，当你运行了P处理后，可以看看net+game的属性，大小都0，而LOG1这类感染EXE文件的病毒，他必须先搜索其文件，但他根本搜索不到无权限的文件夹里面的东西，所以他也无法感染，如果只做一级目录，直接将E盘设为无权限的话，那么会导致无法更新游戏，热血江湖玩不了。这一步骤修正了，那么我们就可以省略了第四步了~如果QQ游戏等在线游戏类的，也可以放在E盘，其方法是一样的，举一反三是基本的学习能力。那么，现在处理下载盘的问题，方法一样，直接将下载目录的快捷方式拖到桌面就可以了~大家多多实验吧~！总之，系统没有绝对的安全，制作病毒的人都是寻找系统弱点来做的，系统的安全性能只能靠平时的经验了~以上P处理的解除：echo y|cacls e:\net+game /g everyone:f ，赋予其所有权限~！由于我能力有限，还望亲们见谅。

在网上采到的病毒样本，大家一定要注意！这是真的病毒：http://download-v5.streamload.com/gR8F-h7v~4Iah~_mKC~uRkx~XJJxidK2aXOY/kianshin/FileManager/%E7%86%8A%E7%8C%AB.rar?action=save

[ 本帖最后由 kianshin 于 2007-2-2 20:12 编辑 ]

woaixianxian

哇.........楼主高手啊

地瓜干儿

你说人家好不容易弄个病毒也不容易``你门老破解它干啥吧``人家还拿什么吃饭啊``呵呵``


哈哈``开玩笑啊````````s:15

kianshin

原帖由 地瓜干儿 于 2007-2-2 19:41 发表
你说人家好不容易弄个病毒也不容易``你门老破解它干啥吧``人家还拿什么吃饭啊``呵呵``


哈哈``开玩笑啊````````s:15

哈哈，这也是互相进步嘛。这就仿佛是游戏带动玩家的电脑升级一般喽。

没有明天

地瓜干儿，不学好


当心姐姐打你屁屁s:14 s:14