他日若逢凌云志，敢笑黄巢不丈夫！

寻找-等待-努力-成功！

日志

关于我

鸿鑫科技电脑工作室

我自信踏平千条坎坷路, 我自豪攻克万重艰难山!

文章分类

setup.exe病毒的清除

2008-04-26 21:34:59| 分类：默认分类 | 标签： |举报 |字号大中小订阅

下载LOFTER 我的照片书 |

电脑中毒：熊猫举着三炷香的setup.exe

病毒！！所有.EXE程序的图标变成熊猫烧香的头像

病毒！！中毒现象是.EXE程序的图表变成熊猫头像,电脑狂慢,进程里面有两个FUCKJACKS.EXE的进程!!!

几乎现在的杀毒软件都没查出来（诺顿最新病毒库可查杀）！！病毒会删除上面提到的反病毒软件的注册表键值，同时删除雅虎助手的注册表

**************************

搜索局域网共享，利用暴力破解局域网用户密码方式试图传播自己，成功后将以GameSetup.exe的形式传播

调用Net.exe和Net1.exe删除admin$和IPC$共享

记录键盘，盗取QQ，记录信息会保存到C: est.txt（同时会记录成功连接的IP共享信息）中

**************************

感染EXE、SCR、PIF、COM文件，同时删除GHOST备份（*.gho）

方法一：尼姆亚（Worm.Nimaya）”病毒：警惕程度★★★☆，蠕虫病毒，通过感染文件传播，依赖系统：WIN 9X/NT/2000/XP。

该病毒采用熊猫头像作为图标，诱使用户运行。病毒运行后，会自动查找Windows格式的EXE可执行文件，并进行感染。由于该病毒编写存在问题，用户的一些软件可能会被其损坏，无法运行。针对该病毒，瑞星已经紧急升级。同时，瑞星向社会发布免费的专杀工具，没有安装杀毒软件的用户可以登录http://it.rising.com.cn/Channels/Service/2006-11/1163505486d38734.shtml下载后查杀。

方法二：修改注册表

Dd11.exe大小为30,465字节，FSG加壳处理。

病毒运行后会在%SYSTEM%下面释放FuckJacks.exe这么一个文件，同Dd11.exe。并且在每个分区根目录下面释放setup.exe和autorun.inf文件（利用系统自动播放达到启动目的）。

FuckJacks.exe将调用CMD.EXE、NET.EXE以及NET1.EXE几个程序，同时占用大量CPU，会结束掉一些进程，比如注册表编辑器、IceSword所有版本等。

病毒会覆盖或者修改掉正常的程序，当EXE程序的文件名第一个为数字或者字母a-d（A-D）时会立刻进行覆盖或修改，其他文件名的程序会慢慢侵蚀。

************************************

病毒会删除“安全中心”的相关注册表。

病毒增加如下注册表启动项：

[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun]

"FuckJacks"="%SYSTEM%FuckJacks.exe"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]

"svohost"="%SYSTEM%FuckJacks.exe"

[HKEY_USERSS-1-5-21-1757981266-2111687655-682003330-500SoftwareMicrosoftWindowsCurrentVersionRun]

"FuckJacks"="%SYSTEM%FuckJacks.exe"

************************************

关于病毒的清除：

1、打开任务管理器，结束掉FuckJacks.exe进程。

2、右击每个分区盘符选择“打开”删除分区根目录下面的setup.exe和autorun.inf文件。

3、删除上面提到的病毒增加的注册表值。

4、关于安全中心的恢复可以从正常系统中倒入注册表，或者跳过这一步，不是特别重要。

5、被病毒覆盖的文件（覆盖后的文件大小为30,465字节）是不可恢复的，直接删除；被修改的文件用16进制编辑器删除Dd11.exe大小为30,465字节，FSG加壳处理。

病毒运行后会在%SYSTEM%下面释放FuckJacks.exe这么一个文件，同Dd11.exe。并且在每个分区根目录下面释放setup.exe和autorun.inf文件（利用系统自动播放达到启动目的）。

FuckJacks.exe将调用CMD.EXE、NET.EXE以及NET1.EXE几个程序，同时占用大量CPU，会结束掉一些进程，比如注册表编辑器、IceSword所有版本等。

病毒会覆盖或者修改掉正常的程序，当EXE程序的文件名第一个为数字或者字母a-d（A-D）时会立刻进行覆盖或修改，其他文件名的程序会慢慢侵蚀。

************************************

病毒会删除“安全中心”的相关注册表。

病毒增加如下注册表启动项：

[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun]

"FuckJacks"="%SYSTEM%FuckJacks.exe"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]

"svohost"="%SYSTEM%FuckJacks.exe"

[HKEY_USERSS-1-5-21-1757981266-2111687655-682003330-500SoftwareMicrosoftWindowsCurrentVersionRun]

"FuckJacks"="%SYSTEM%FuckJacks.exe"

************************************

关于病毒的清除：

1、打开任务管理器，结束掉FuckJacks.exe进程。

2、右击每个分区盘符选择“打开”删除分区根目录下面的setup.exe和autorun.inf文件。

3、删除上面提到的病毒增加的注册表值。

4、关于安全中心的恢复可以从正常系统中倒入注册表，或者跳过这一步，不是特别重要。

5、被病毒覆盖的文件（覆盖后的文件大小为30,465字节）是不可恢复的，直接删除；被修改的文件用16进制编辑器删除00000000到00007700的代码段，在文件末尾删除“WhBoyD.exe.exe.714241.”的代码段保存即可恢复原貌。00000000到00007700的代码段，在文件末尾删除“WhBoyD.exe.exe.714241.”的代码段保存即可恢复原貌。

共3条回复

Ifeet.Net 发表于 2006-12-01 16:13 #1

详细的分析：

熊猫烧香图标病毒的详细分析威金（LOGO_1）过后的新威胁，熊猫烧香图标病毒的详细分析

在围巾病毒的威胁渐渐归于平息的时候，熊猫烧香图标病毒又开始了对我们的新一轮疯狂攻击，这个病毒和围巾一样，也是感染所有的exe文件，目前这个病毒也进入了急速的变种期，在我手头上最新的变种样本的测试中，截至到11月22号，金山和瑞星均不能查杀，国内厂商在针对这个病毒的反应上还是有点慢，希望大家小心。

评论这张

转发至微博

阅读(536)| 评论(0)

历史上的今天

this.p={  m:2,
              b:2,
              loftPermalink:'',
              id:'fks_084071080087084071082080085095085095085075081080081',
              blogTitle:'setup.exe病毒的清除',
              blogAbstract:'<P style=\"TEXT-INDENT: 2em;\"  \>电脑中毒：熊猫举着三炷香的setup.exe</P\>  <P style=\"TEXT-INDENT: 2em;\"  \>病毒！！所有.EXE程序的图标变成熊猫烧香的头像</P\>  <P style=\"TEXT-INDENT: 2em;\"  \>病毒！！中毒现象是.EXE程序的图表变成熊猫头像,电脑狂慢,进程里面有两个FUCKJACKS.EXE的进程!!!   </P\>  <P style=\"TEXT-INDENT: 2em;\"  \>几乎现在的杀毒软件都没查出来（诺顿最新病毒库可查杀）！！病毒会删除上面提到的反病毒软件的注册表键值，同时删除雅虎助手的注册表</P\>  <P style=\"TEXT-INDENT: 2em;\"  \>**************************</P\>  <P style=\"TEXT-INDENT: 2em;\"  \>搜索局域网共享，利用暴力破解局域网用户密码方式试图传播自己，成功后将以GameSetup.exe的形式传播</P\>  <P style=\"TEXT-INDENT: 2em;\"  \>调用Net.exe和Net1.exe删除admin$和IPC$共享</P\>  <P style=\"TEXT-INDENT: 2em;\"  \>记录键盘，盗取QQ，记录信息会保存到C:   est.txt（同时会记录成功连接的IP共享信息）中</P\>',
              blogTag:'',
              blogUrl:'blog/static/1948567200832693459819',
              isPublished:1,
              istop:false,
              type:0,
              modifyTime:1316875172844,
              publishTime:1209216899819,
              permalink:'blog/static/1948567200832693459819',
              commentCount:0,
              mainCommentCount:0,
              recommendCount:0,
              bsrk:-100,
              publisherId:0,
              recomBlogHome:false,
              currentRecomBlog:false,
              attachmentsFileIds:[],
              vote:{},
              groupInfo:{},
              friendstatus:'none',
              followstatus:'unFollow',
              pubSucc:'',
              visitorProvince:'',
              visitorCity:'',
              visitorNewUser:false,
              postAddInfo:{},
              mset:'000',
              mcon:'',
              srk:-100,
              remindgoodnightblog:false,
              isBlackVisitor:false,
              isShowYodaoAd:false,
              hostIntro:'我自信踏平千条坎坷路,\r\n我自豪攻克万重艰难山!',
              hmcon:'1',
              selfRecomBlogCount:'0',
              lofter_single:'<iframe width="140" height="560" style="overflow:hidden;" src="http://www.lofter.com/mailEntry.do?blogad=1&blog" frameBorder="0"></iframe>'
            }

{list a as x}
    {if !!x}
    <div class="iblock nbw-fce nbw-f40">
      <a class="fc03 noul" target="_blank" hidefocus="true" href="http://blog.163.com/${x.visitorName}/">
      {if x.visitorName==visitor.userName}
      <img alt="${x.visitorNickname|escape}" onerror="this.src=location.f40" class="cwd bdwa bdc0" src="${fn1(x.visitorName)}&r=${visitor.imageUpdateTime}"/>
      {else}
      <img alt="${x.visitorNickname|escape}" onerror="this.src=location.f40" class="cwd bdwa bdc0" src="${fn1(x.visitorName)}"/>
      {/if}
      </a>
      <div class="cwd vname thide">
        {if x.moveFrom=='wap'}
          <a class="noul pnt" target="_blank" href="http://blog.163.com/services/wapblog.html?frompersonalbloghome"><span title="来自网易手机博客" class="iblock wapIcon"> </span></a>
        {elseif x.moveFrom=='iphone'}
          <a class="noul pnt" target="_blank"><span title="来自iPhone客户端" class="iblock iphoneIcon"> </span></a>
        {elseif x.moveFrom=='android'}
          <a class="noul pnt" target="_blank"><span title="来自Android客户端" class="iblock androidIcon"> </span></a>
        {elseif x.moveFrom=='mobile'}
          <a class="noul pnt" target="_blank" href="http://blog.163.com/services/emsblog.html?frompersonalbloghome"><span title="来自网易短信写博" class="iblock wapIcon"> </span></a>
        {/if}
        <a class="fc03 m2a"  target="_blank" hidefocus="true" href="http://blog.163.com/${x.visitorName}/">
          ${fn(x.visitorNickname,8)|escape}
        </a>
      </div>
    </div>
    {/if}
    {/list}

<#--最新日志，群博日志--> <#--推荐日志-->

<p class="fc06">推荐过这篇日志的人：</p>
    <div>
      {list a as x}
      {if !!x}
      <div class="iblock nbw-fce nbw-f40">
        <a class="fc03 noul" target="_blank" hidefocus="true" href="http://blog.163.com/${x.recommenderName}/">
        <img alt="${x.recommenderNickname|escape}" onerror="this.src=location.f40" class="cwd bdwa bdc0" src="${fn1(x.recommenderName)}"/>
        </a>
        <div class="cwd thide">
          <a class="fc03 m2a" target="_blank" hidefocus="true" href="http://blog.163.com/${x.recommenderName}/">
            ${fn(x.recommenderNickname,6)|escape}
          </a>
        </div>
      </div>
      {/if}
      {/list}
    </div>
    {if !!b&&b.length>0}
    <p  class="fc06">他们还推荐了：</p>
    <ul>
    {list b as y}
      {if !!y}
        <li class="rrb"><span class="iblock">·</span><a class="fc03 m2a" target="_blank" href="http://blog.163.com/${y.recommendBlogPermalink}/?from=blog/static/1948567200832693459819">${y.recommendBlogTitle|escape}</a></li>
      {/if}
    {/list}
    </ul>
    {/if}

<#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇，下一篇--> <#-- 热度 -->

{list a as x}
    {if !!x}
    <div class="hotItem iblock nbw-fce nbw-f40">
      <a class="fc03 noul" target="_blank" hidefocus="true" href="http://blog.163.com/${x.publisherUsername}/">
      {if x.publisherUsername==visitor.userName}
      <img alt="${x.publisherNickname|escape}" onerror="this.src=location.f40" class="cwd bdwa bdc0" src="${fn1(x.publisherUsername)}&r=${visitor.imageUpdateTime}"/>
      {else}
      <img alt="${x.publisherNickname|escape}" onerror="this.src=location.f40" class="cwd bdwa bdc0" src="${fn1(x.publisherUsername)}"/>
      {/if}
      </a>
      <div class="cwd vname thide">
        <a class="fc03 m2a"  target="_blank" hidefocus="true" href="http://blog.163.com/${x.publisherUsername}/">
          ${fn(x.publisherNickname,8)|escape}
        </a>
      </div>
      <a class="f-myLikeIcons hottype {if x.type==1} js-liketype{elseif x.type==2} js-reblogtype{elseif x.type==3} js-sharetype{else}{/if}" target="_blank" hidefocus="true" href="http://blog.163.com/${x.publisherUsername}/"> </a>
    </div>
    {/if}
    {/list}

<#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->

页脚

我的照片书 - 手机博客 - 下载LOFTER APP - 订阅此博客

他日若逢凌云志，敢笑黄巢不丈夫！

导航

日志

setup.exe病毒的清除

历史上的今天

最近读者

热度

评论

页脚