[转载]病毒“熊猫烧香”的彻底解决办法

popjim

病毒“熊猫烧香”的彻底解决办法（未验证）
: h8 @1 {9 R+ m
症状：
1、 “我的电脑中”各个盘双击无法打开，系统缓慢甚至反复重启；
; }7 T, B6 l  g* o2、 Msconfig、regedit和任务管理器以及很多程序无法运行；
3、 遍历目录，感染除以下系统目录外其它目录中的exe、com、scr、pif文件，还尝试使用弱密码访问和感染局域网内其它计算机（公司很多同事中此病毒，都有同样的情况——密码都非常简单，就是几个数字。而密码较复杂的同事全部没感染。大家最好重新修改自己的密码）
( E/ j6 g* m- N, h- V( y4、 尝试关闭下列窗口：
VirusScan
Symantec AntiVirus
Duba
! q8 a7 v- G. H' U# `( FWindows
esteem procs
System Safety Monitor
3 l4 g8 A+ [8 g( }+ [9 T( F7 v( PWrapped gift Killer
4 Y+ ?# k0 R3 X( I" Q; M. ^Winsock Expert
' Q9 }2 d5 r, f4 Q6 u% ?msctls_statusbar32
pjf(ustc
IceSword （冰刃都无可奈何了）
) t, Q; D4 K# }3 U& F# \5、 因杀毒软件被感染，所以会结束很多杀毒软件的进程：
* O, z2 S* ]; K+ |/ o$ KMcshield.exe
VsTskMgr.exe
naPrdMgr.exe
更新rUI.exe
1 b" R' J  k0 X; c/ `9 N2 M5 kTBMon.exe
scan32.exe
Ravmond.exe
& e% G6 @' Q4 B. {8 i+ ]% MCCenter.exe
RavTask.exe
Rav.exe
Ravmon.exe
) j. o  x! m0 u. LRavmonD.exe
/ o) u& g+ L% Q) |: i" x# xRavStub.exe
3 J& C% ?% |3 g/ \. JKVXP.kxp
KvMonXP.kxp
KVCenter.kxp
KVSrvXP.exe
KRegEx.exe
5 d/ m( z( U' lUIHost.exe
7 ]2 d# r  d- h, H# n1 P3 V* ?TrojDie.kxp
FrogAgent.exe
Logo1_.exe
Logo_1.exe
Rundl132.exe……
6、 在各分区根目录生成副本：
( ~1 y. h8 Y$ ?* mX:\setup.exe
X:\autorun.inf
. k( k" ]5 V% n3 @  @0 R7 c$ P8 s(直接删除是没用的，会再次出现)
! L+ U( d' F2 h. {5 T
0 ~; z, a2 o0 G: b: r下面是非常有效和迅速的彻底杀掉该病毒的方法，请大家参考。步骤为：
& b! d. _( p8 }6 Q1、 断开网络，重启机器。
2、 开始 —> 所有程序 —> 附件 —>系统工具 —>系统信息 —>软件环境 —>正在运行任务，找到“名称”为“spoclsv.exe”的程序，可见其路径在“c\windows\system32\drivers”，记下第三列“处理ID”中的数字，如1852；
3、 开始 —>运行，输入“ntsd -c q -p 1852”，回车（注意：即上述处理ID的数字）。此步骤作用：彻底停止该病毒的进程。
0 ]# S2 `& P' P' S; {) D& D; W- S4、 开始 —>运行，输入“cmd”回车，启动dos。进入“c:\windows\system32\drivers”目录，输入“attrib –h –s spoclsv.exe”，取消其隐藏和系统文件属性。
5、 在“我的电脑”中，对系统盘的盘符（通常是C）点右键（千万不可以双击，因为病毒可以借助微软的“自动播放”功能，在用户每次双击硬盘时即可自动启动运行。如已双击，请重复步骤1-3），打开，进入“c:\windows\system32\drivers”目录，删除“spoclsv.exe”文件。
, [1 k9 c$ E3 ^: Q- j6、 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
: ?! p( Q) V' r, q"CheckedValue"=dword:00000001
/ Y# z6 f. i+ S& `9 i0 O% V0 v: \
0 N; d/ V( C" V0 `意思是将checked这个键值修改为1。
此步骤非常重要！否则任何杀毒软件或专杀工具都不回有任何效果，虽然有些软件据说能对付该病毒，但是病毒文件被隐藏后不能被查杀！。
7、 右键点击分区盘符，点击右键菜单中的“打开”进入分区根目录，删除根目录下的文件：
( {" i: T, E  J" @. xX:\setup.exe
& _6 o% H# y; F0 k; u. ^X:\autorun.inf(此时删除后不会再出现)
3 n  [+ o# Z% m4 a特别注意：只能“右键”—>“打开”每个分区，千万不能双击打开，否则病毒又开始运行。如已双击，请重复步骤1-6。）
8、 删除病毒创建的启动项：
- L/ [' M0 C0 F[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
+ ]! y  M2 C, K"svcshare"="%System%\drivers\spoclsv.exe"
或者在“msconfig”中修改。
9、 修复或重新安装反病毒软件(因为.exe应用文件已经被感染过)；
( K" U/ r3 A5 Q" o- v8 d10、 使用反病毒软件或专杀工具（如超级巡警）进行全盘扫描，清除恢复被感染的exe文件。
9 a, `7 ~9 c8 x! j5 ~
0 _5 m3 S9 p2 ~0 u4 q  i至此，杀毒结束！不排除病毒有其他变种，比如spoclsv变成sppolsv的，请参考！
' m: b8 u. t6 A* ^5 U推荐杀毒后，下载google firefox安全浏览器，以防止再次中毒！
再罗嗦一句，请大家注意自己的登陆密码，用自己的生日或电话等数字作为密码的，不仅对自己不负责任，也是对大家尤其是网管不负责任，太危险了。

quanheji

实在不行，就 format c: d: e: f: ……
  ]6 X  o" o9 Q$ S哈哈！ 一切搞定。

hnmeec

收藏备用，谢谢楼主！！！

redrose88

讲解的很详细,谢谢!!!