大寶兒甜甜見

Melo4，我們一起在努力！

統(tǒng)計

隨筆 - 2
文章 - 0
評論 - 0
引用 - 0

常用鏈接

留言簿

隨筆檔案

2010年12月 (2)

相冊

Melo4

搜索

閱讀排行榜

評論排行榜

2010年12月27日

熊貓燒香病毒（jusodl.exe severe.exe conime.exe）及其變種病毒專殺

jusodl.exe OSo.exe severe.exe conime.exe 熊貓燒香最新變種
熊貓燒香新變種的病毒特征如下：

1、系統(tǒng)時間總是固定到某年某月某天如2004年1月22日
2、不能更改顯示隱藏所有文件和文件夾選項無法顯示隱藏的系統(tǒng)文件
3、雙擊硬盤速度明顯變慢或者彈出選擇打開方式
4、打不開殺毒軟件
5、打不開任務(wù)管理器
6、安全模式也無法結(jié)束(綁架了winlogon)
7、無法打開應用程序 office文檔等

解決辦法

諾頓2006年2月6日的病毒定義仍不能檢測到該病毒！

以下為U盤上的病毒樣本如下圖切記！碰到此類情況不要點擊如果已經(jīng)發(fā)現(xiàn)感染更不要盲目的重裝系統(tǒng) 重做系統(tǒng)沒有用的都不是第一天玩小熊貓了吧不過這回是個美女不過我這樣的很少上當嘿嘿

重要提示：

1、本文操作全程在”安全模式下“進行（其實正常模式也一樣但還是斷網(wǎng)吧）；
2、不要在殺毒過程中插入軟盤 U盤移動硬盤 Mp3 等移動設(shè)備
3、本次殺毒過程中不要雙擊硬盤分區(qū) 如C D E盤通過右鍵 ---選擇打開來打開硬盤分區(qū)
4、不要盲目的重裝系統(tǒng) 重裝系統(tǒng)解決不了任何問題。
5、開始---運行---輸入 gpedit.msc 確定

按如下操作提示關(guān)閉自動運行

計算機中毒初期：不會有很明顯的癥狀打開硬盤分區(qū)特別慢！幾秒鐘之后幾乎所有的程序都打不開了
特別是在運行其中一個exe后情況變得很糟糕：諾頓無法檢測到病毒打不開進程管理器打不開諾頓（安全模式一樣）打不開很多東西！無法正常使用

如果你什么都打不開了可以使用Autoruns這個小程序可以打開注冊表

autoruns.rar 點擊下載此文件

用autoruns發(fā)現(xiàn)不明進程：無法結(jié)束

jusodl c:\windows\system32\severe.exe
pnvifj c:\windows\system32\jusodl.exe
severe.exe C:\WINDOWS\system32\severe.exe
conime.exe C:\WINDOWS\system32\drivers\conime.exe
c:\windows\system32\drivers\pnvifj.exe

第一步注冊表清理

大家注意這幾個進程聯(lián)合作用但最主要的就是干掉最根本的進程用autoruns.exe(病毒沒有理會這個軟件)檢查你就會發(fā)現(xiàn)這幾個進程是互相作用的由conime.exe綁架winlogon 所以只要你啟動計算機就會啟動病毒，首先找到conime.exe jusodl.exe 直接按Delete鍵。

然后打開autoruns上[映像劫持] 你就會發(fā)現(xiàn)包括360在內(nèi)的流行殺毒軟件都被劫持（奇怪~）把所有的都劫持都刪除留下 Your Image File Name Here without a pathSymbolic Debugger for Windows Microsoft Corporation c:\windows\system32\ntsd.exe 這個是微軟的

除了這個ntsd.exe全干掉~不然你打開這些軟件其實打開的是病毒而已所以你也打不開這些軟件只要這些劫持在病毒是殺不干凈的
找到{啟動執(zhí)行}刪除如下的2個啟動項 severe.exe和jusodl.exe 刪

安全衛(wèi)士可以打開了而且也可以暫時的上一下網(wǎng)但我估計很快就又被劫持

因為我偏好用安全衛(wèi)士操作方便直觀所以執(zhí)行到這里注冊表清理實在是不直觀直接用安全衛(wèi)士（感覺像在做廣告其實我很鄙視這軟件商但這個軟件確實還好用）選中如下的勾勾~往下拉還有很多然后點下方的修復選中項

使用安全衛(wèi)士的系統(tǒng)全面診斷掃描完成后將需要刪除的項目選中本例中諸如如下字符串的全部選中修復
jusodl
pnvifj
severe.exe
jusodl.exe
CTMONTv.exe
修復hosts文件

注冊表清理完畢

注意：用安全衛(wèi)士修復時安全衛(wèi)士會修復注冊表并刪除該文件但是要注意的是病毒很容易會又被創(chuàng)建，殺毒過程中時應時刻注意使用衛(wèi)士掃描系統(tǒng)

第二步顯示隱藏的病毒文件

但是病毒還在我們的機器里繼續(xù)下面的操作，打開注冊表編輯器
1、開始運行輸入regedit 回車
2、如果打不開就找到regedit.exe改為regedit.com或者找symantec工具去修復
3、注意不要隨便就重新啟動計算機否則極有可能你上面的工作都白做了
4、接步驟1進行如下操作找到如下路徑

注意：病毒在這里做了手腳不要以為你改成1就沒事了病毒把Checked值類型改成了二進制所以即便是你改成1也無法顯示隱藏文件！

找到如下注冊表路徑：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
刪除右邊的Checked 新建DWORD值數(shù)值改成1
注意：如果操作不當又釋放了病毒注冊表會被改回去

第三步：刪除硬盤上的病毒文件
注意殺毒不要雙擊任何硬盤尤其是U盤和活動硬盤！！
強烈建議使用dos命令刪除
如果你發(fā)現(xiàn)刪完還會自己生成請退回步驟1注冊表檢查 Driver底下的優(yōu)先刪除
c:\windows\system32\drivers\pnvifj.exe （先刪這個這個是關(guān)鍵切斷來源）
C:\WINDOWS\system32\drivers\CTMONTv.exe
C:\WINDOWS\system32\jusodl.dll（刪除這個）
C:\WINDOWS\system32\drivers\conime.exe（再刪這個）
c:\windows\system32\severe.exe（如果沒錯的話這時候使用衛(wèi)士衛(wèi)士會幫你干掉下面2個）
c:\windows\system32\jusodl.exe
（手動刪除）

注意：
刪除完畢后使用衛(wèi)士再掃描一遍然后再小心清理移動設(shè)備上的文件反復多次注意一定要確認不再產(chǎn)生了再重新啟動

右鍵打開CEDF每個硬盤檢查一便刪除autorun.inf 、OSO.exe、Setup.exe 當然還有那個美女游戲的dos快捷方式！如果提示操作失敗快回頭看看吧還是那句話操作要小心翼翼

修復系統(tǒng)：
雙擊打不開硬盤分區(qū)開始-運行輸入regedit 找到[HKEY_CLASSES_ROOT\Drive\shell]將shell下的全部刪除然后關(guān)閉注冊表再打不開還有一種可能就是就是我也不知道重新啟動一切就ok了
修復Office ：重新運行Office安裝程序修復即可

總結(jié)：熊貓病毒變種非常的快這個變種沒有太大的危害感覺像是某些人惡作劇的產(chǎn)物但通過U盤死而復生屢禁不止這個病毒原理很簡單但操作起來需要細心稍有疏忽便死灰復燃歸根結(jié)底還是病毒定義無法檢測到的原因而且病毒會阻止你使用殺毒軟件阻止你下載病毒定義

專殺工具下載：

http://tool.duba.net/zhuansha/253.shtml

http://www.xiongmaoshaoxiang.com/

http://dl.pconline.com.cn/html_2/1/66/id=41497&pn=0.html

posted @ 2010-12-29 10:34 大寶兒閱讀(384) | 評論 (0) | 編輯收藏

VMWare中如何搜索所有數(shù)據(jù)存儲上的VMX文件并把他們添加到清單中去

一些注意事項：
1、從SDK中使用到了兩個方法
       a. SearchDatastoreSubFloders_Task：在一個特定的datastore（數(shù)據(jù)存儲）中查找所有的.VMX文件。
       b.RegisterVM_Task：注冊一個VMX文件
2、在常見的FAQ中RegisterVM_Task方法解答中：resourcepool是必須的。
3、客戶機會被注冊到一個特定的數(shù)據(jù)中心（datacenter）或者是集群中的一個數(shù)據(jù)中心。
4、客戶機注冊的文件夾將會隱藏一個文件夾"VM"
5、客戶機注冊的資源池也是隱藏的資源池"Resources"
6、被注冊的名稱與現(xiàn)有的重名，RegisterVM_Task方法將會失敗。
7、*.VMX文件就是要注冊的文件名，例如：PC1.vmx，就是客戶機的PC1

$folder = Get-View (Get-Datacenter -Name <datacenter-name> | Get-Folder -Name "vm").ID
$pool = Get-View (Get-Cluster -Name <cluster-name> | Get-ResourcePool -Name "Resources").ID
$guestname = [regex]"^([\w]+).vmx"
$esxImpl = Get-VMHost -Name <VMHost-name>
$esx = Get-View $esxImpl.ID
$dsBrowser = Get-View $esx.DatastoreBrowser
foreach($dsImpl in $dsBrowser.Datastore){
  $ds = Get-View $dsImpl
  $vms = @()
  foreach($vmImpl in $ds.Vm){
    $vm = Get-View $vmImpl
    $vms += $vm.Config.Files.VmPathName
  }
  $datastorepath = "[http://" + $ds.Summary.Name + "|http://" + $ds.Summary.Name + "]"
 
  $searchspec = New-Object VMware.Vim.HostDatastoreBrowserSearchSpec
  $searchSpec.matchpattern = "*.vmx"
  $taskMoRef = $dsBrowser.SearchDatastoreSubFolders_Task($datastorePath, $searchSpec)
  $task = Get-View $taskMoRef
  while ($task.Info.State -eq "running"){$task = Get-View $taskMoRef}
  foreach ($file in $task.info.Result){
    $found = $FALSE
    foreach($vmx in $vms){
      if(($file.FolderPath + $file.File[0].Path) -eq $vmx){
        $found = $TRUE
      }
    }
    if (-not $found){
      $vmx = $file.FolderPath + $file.File[0].Path
      $res = $file.File[0].Path -match $guestname
      $folder.RegisterVM_Task($vmx,$matches[1],$FALSE,$pool.MoRef,$null)     
    }
  }
}

posted @ 2010-12-27 14:05 大寶兒閱讀(3351) | 評論 (0) | 編輯收藏

導航