taskkill命令无法使用

可执行文件全部被改成熊猫举着三根香,所有盘下多出 setup.exe,文件夹下 desktop.__ini.重装系统后，只点下盘符，再次中毒 。
偶然在网上找到“熊猫烧香”.
http://tool.duba.net/zhuansha/253.shtml

之后这个消息上了电视,据说损失惨重。

"365安全卫士" ,上次有人给他装了这个软件,结果病毒越来越多。他说 这些杀毒软件,可能为了表现它自己的杀毒的性能，所以会自己在系统中加上一些 病毒，然后 它再来杀。 也许，周鸿炜这家伙本来就是靠流氓起家的，只要能骗到钱嘛，什么事情不能干。所以这些病毒也许是有那些杀毒软件公司的资助，特别是国内杀毒软件在性能上比不上国外的时候，做一些只有自己可以办掉的病毒出来，确实是利国利民利已。
熊猫烧香病毒中毒后症状与解决方案

“熊猫烧香”FuckJacks.exe的变种，和之前的变种一样使用白底熊猫烧香图标.

中毒后~~~~~~~~~

尝试关闭下列窗口：
QQKav
QQAV
VirusScan
Symantec AntiVirus
Duba
Windows
esteem procs
System Safety Monitor
Wrapped gift Killer
Winsock Expert
msctls_statusbar32
pjf(ustc)
IceSword
结束以下进程：
Mcshield.exe
VsTskMgr.exe
naPrdMgr.exe
UpdaterUI.exe
TBMon.exe
scan32.exe
Ravmond.exe
CCenter.exe
RavTask.exe
Rav.exe
Ravmon.exe
RavmonD.exe
RavStub.exe
KVXP.kxp
KvMonXP.kxp
KVCenter.kxp
KVSrvXP.exe
KRegEx.exe
UIHost.exe
TrojDie.kxp
FrogAgent.exe
Logo1_.exe
Logo_1.exe
Rundl132.exe
禁用杀毒软件服务及其它服务：
Schedule
sharedaccess
RsCCenter
RsRavMon
RsCCenter
RsRavMon
KVWSC
KVSrvXP
kavsvc
AVP
McAfeeFramework
McShield
McTaskManager
navapsvc
wscsvc
KPfwSvc
SNDSrvc
ccProxy
ccEvtMgr
ccSetMgr
SPBBCSvc
Symantec Core LC
NPFMntor
MskService
FireSvc
删除若干安全软件启动项信息：
RavTask
KvMonXP
kav
KAVPersonal50
McAfeeUpdaterUI
Network Associates Error Reporting Service
ShStatEXE
YLive.exe
yassistse
使用net share命令删除管理共享：

[Copy to clipboard]CODE:
net share X$ /del /y
net share admin$ /del /y
net share IPC$ /del /y
-----------------------------------
Then~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

1.修改注册表信息中“显示所有文件和文件夹”设置,使你无法查看隐藏的文件和文件夹：
[Copy to clipboard]CODE:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000000
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
2.在各分区根目录生成副本：
X:\setup.exe
X:\autorun.inf
autorun.inf内容：
[AutoRun]
OPEN=setup.exe
shellexecute=setup.exe
shell\Auto\command=setup.exe

修改注册表为如下键值:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0933cf62-8fc5-11db-a73f-806d6172696f}\Shell\
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0933cf62-8fc5-11db-a73f-806d6172696f}\Shell\@
Value: String: "AutoRun"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0933cf62-8fc5-11db-a73f-806d6172696f}\Shell\Auto\
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0933cf62-8fc5-11db-a73f-806d6172696f}\Shell\Auto\command\
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0933cf62-8fc5-11db-a73f-806d6172696f}\Shell\Auto\command\@
Value: String: "C:\setup.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0933cf62-8fc5-11db-a73f-806d6172696f}\Shell\AutoRun\
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0933cf62-8fc5-11db-a73f-806d6172696f}\Shell\AutoRun\@
Value: String: "自动播放(&P)"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0933cf62-8fc5-11db-a73f-806d6172696f}\Shell\AutoRun\command\
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0933cf62-8fc5-11db-a73f-806d6172696f}\Shell\AutoRun\command\@
Value: String: "C:\windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL setup.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0933cf62-8fc5-11db-a73f-806d6172696f}\Shell\AutoRun\Extended
Value: String: ""
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
3.病毒文件的创建:

%windir%\system32下创建文件(如C:\Windows\system32):
devgt.exe Size: 31,204字节,(v5.1.0.2600)
qqhx.dat Size: 77,008字节,
twunk32.exe Size: 24,576字节,
uaoybx.dll Size: 45,136字节,
uaoybx.exe Size: 77,008字节,
windhcp.ocx Size: 41,984字节

%windir%\下创建文件(如C:\Windows):
heixia.exe Size: 77,008字节
mh.exe Size: 31,310字节,(v5.1.0.2600)

其它位置:
C:\windows\system32\drivers\spoclsv.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Zt2\SVCH0ST.EXE(请与SVCHOST.EXE区别,o与0
的区别)
分区根目录生成隐藏文件setup.exe,autorun.inf
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
4.自启动项目及服务
自启动项目:SVCH0ST.EXE,spoclsv.exe,twunk32.exe,uaoybx.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\myZt2
Value: String: "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Zt2\SVCH0ST.EXE"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\svcshare
Value: String: "C:\windows\system32\drivers\spoclsv.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\twin
Value: String: "C:\windows\system32\twunk32.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\lhjsax
Value: String: "C:\windows\system32\uaoybx.exe"

服务:注册病毒服务:Windows DHCP Service,描述为:为远程计算机注册并更新 IP 地址.服务的可执行文件路径为: C:\windows\system32\rundll32.exe windhcp.ocx,start
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\WinDHCPsvc\Description
Value: String: "为远程计算机注册并更新 IP 地址。"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\WinDHCPsvc\DisplayName
Value: String: "Windows DHCP Service"

5.以上是病毒背地做的的事情,下面是我们将感受到的病毒威力.

(1) 电脑运行缓慢,配置差的机器会出现死机\蓝屏等症状.
(2) 任务管理器无法打开,窗口一闪即过,因此你无法使用任务管理器结束病毒进程
(3) 系统配置实用程序msconfig无法打开,窗口一闪即过.但,services.msc命令可用.
(4) 你打开浏览器想从网上获取帮助,当文字包含金山毒霸\江民\瑞星\熊猫烧香等文字时,浏览器自动关闭.
(5) cmd命令可能无法使用(本人实验过两次,一次可以用,一次是窗口一闪即过-.-).
如果cmd命令可用,请使用tasklist及taskkill命令查看及结束病毒进程.可以看到,当前系统进程包含uaoybx.exe, devgt.exe,spoclsv.exe,SVCH0ST.EXE病毒进程,使用taskkill -pid /f结束病毒进程.此时,任务管理器及 msconfig可用.
PS: 以上所有操作,在中毒后未重启的情况下实验通过./安全模式可能无法使用,进入的时候会直接蓝屏.

(6) 使用杀毒软件及专杀工具查杀(见后面,记得断开网络)..................
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
6.其它的一些建议

(1).为爱机打补丁吧,Patch~~~~~~~~
(2).安装杀毒软件,及时升级病毒库,并打开实时防护.(应该是好的杀毒软件................)
(3).中招后,部分朋友可能倾向于Ghost或格盘重装系统.

忠告:病毒会在其它驱动器根目录产生病毒文件,使得驱动器有"自动播放"选项.重装后,系统盘应该正常,但,一定不要那么急着双击其它盘,双击后,很有可能再次中毒,功亏一篑,这也是为什么有朋友说中此病毒后,格式化所有分区的原因了.
(4)使用Win PE引导系统,手工把所有病毒文件删光光.
关于Win PE,请参考本站文章:http://www.badguy.name/article.asp?id=107.需要自己刻盘,有些麻烦,喜欢体验杀毒快感的朋友推荐一试.本人实验,熊猫烧香病毒可以在WinPe环境下手工完全清除.

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
熊猫烧香病毒样本+熊猫烧香病毒变种样本 解压缩密码:badguy.name
只允许会员下载 该文件只允许会员下载! 登录 | 注册
最新熊猫烧香变种
只允许会员下载 该文件只允许会员下载! 登录 | 注册
释放文件:
C:\windows\

a.bat Size: 110,
dj.exe Size: 404,063,
iexp1ore.exe Size: 22,016,
mh.exe Size: 32,934,
my.exe Size: 43,008,
svchostt.com Size: 649,728,
winlog0n.exe Size: 36,894,
wm.exe Size: 36,182,
wsvbs.exe Size: 8,235,

C:\windows\system32\

New files
2.exe Size: 38,912,
devgt.exe Size: 32,934,
lgsyl.dll Size: 13,824,
lgsyzr.dll Size: 13,312,
mgsyl.dll Size: 13,824,
security.exe Size: 28,672,
twunk32.exe Size: 22,564,
userspi.dll Size: 81,920,
wdfmgr32.exe Size: 5,224,
windhcp.ocx Size: 42,496,
winlogin.exe Size: 19,456,
wsvbs.dll Size: 7,168,

以及Temp文件夹

1.bat
spoclsv.exe
svchost.exe

把下面的代码保存为killviking.bat
@echo off
title 清除威金（logo_1,熊猫烧香）病毒最新变种工具
@echo 清除VIKING病毒最新变种工具
@echo -------------------------------------------------------
@echo welcome to MY blog http://www.zcc.com.ru
@echo 没什么 清理病毒 By 孤独坏坏
@echo --------------------------------------------------------
pause

if exist %windir%\rundl132.exe echo ---发现有威金病毒埋伏! 杀-----
if exist %windir%\logo_1.exe echo ---发现有威金病毒埋伏!杀 -----
//杀viking进程
tskill logo_1
tskill rundl132
tskill zt
tskill wow
tskill logo1_
tskill Ravmon
tskill Eghost
tskill Mailmon
tskill KAVPFW
tskill IPARMOR
tskill Ravmond
taskkill /f /im 0sy.exe
taskkill /f /im 1sy.exe
taskkill /f /im 2sy.exe
taskkill /f /im 3sy.exe
taskkill /f /im 4sy.exe
taskkill /f /im 5sy.exe
taskkill /f /im 6sy.exe
taskkill /f /im 7sy.exe
taskkill /f /im 8sy.exe
taskkill /f /im 9sy.exe

//删除木马
del d:\_desktop.ini /f/s/q/a
del c:\Program Files\_desktop.ini
del %Windir%\MickNew\MickNew.dll
del %Windir%\MH_FILE\MH_DLL.dll
del %Windir%\_desktop.ini
del %Windir%\TODAYZTKING\TODAYZTKING.DLL
attrib -h -r -s c:\go.exe
del c:\go.exe
del c:\setup.exe
attrib -h -s -r c:\autorun.inf
del c:\autorun.inf
attrib -h -r -s d:\go.exe
del d:\go.exe
del d:\setup.exe
attrib -h -s -r d:\autorun.inf
del d:\autorun.inf
del e:\setup.exe
attrib -h -r -s e:\go.exe
del e:\go.exe
attrib -h -s -r e:\autorun.inf
del e:\autorun.inf
attrib -h -r -s f:\go.exe
del f:\go.exe
del f:\setup.exe
attrib -h -s -r f:\autorun.inf
del f:\autorun.inf
attrib -h -r -s g:\go.exe
del g:\go.exe
del g:\setup.exe
attrib -h -s -r g:\autorun.inf
del g:\autorun.inf
del h:\go.exe
del h:\setup.exe
attrib -h -s -r g:\autorun.inf
del h:\autorun.inf
del i:\go.exe
attrib -h -s -r g:\autorun.inf
del i:\autorun.inf
del i:\setup.exe
del j:\go.exe
attrib -h -s -r g:\autorun.inf
del j:\autorun.inf
del j:\setup.exe
del %windir%\system\Logo1_.exedel %windir%\system\Logo_1.exe
del %windir%\rundl132.exe
del %windir%\vDll.dll
del %windir%\Dll.dll
del %windir%\0Sy.exe
del %windir%\1Sy.exe
del %windir%\2Sy.exe
del %windir%\3Sy.exe
del %windir%\5Sy.exe
del %windir%\1.com
@echo VIKING已经全都被处死

@echo 病毒已清，现在给你的系统免疫下,不需要的话请直接退出
pause
//免疫系统
echo > %windir%\Logo1_.exe
echo > %windir%\rundl132.exe
echo > %windir%\0Sy.exe
echo > %windir%\vDll.dll
echo > %windir%\1Sy.exe
echo > %windir%\2Sy.exe
echo > %windir%\rundll32.exe
echo > %windir%\3Sy.exe
echo > %windir%\5Sy.exe
echo > %windir%\1.com
echo > %windir%\exerouter.exe
echo > %windir%\EXP10RER.com
echo > %windir%\finders.com
echo > %windir%\Shell.sys
echo > %windir%\kill.exe
echo > %windir%\sws.dll
echo > %windir%\sws32.dll
echo > %windir%\uninstall\rundl132.exe
echo > %windir%\SVCHOST.exe
echo > %windir%\WINLOGON.exe
echo > %windir%\RUNDLL32.EXE
echo > C:\"Program Files"\svchost.exe
echo > C:\"Program Files"\"Internet Explorer"\svchost.exe
echo > %windir%\Download\svchost.exe
echo > %windir%\system32\wldll.dll

attrib %windir%\Logo1_.exe +s +r +h
attrib %windir%\rundl132.exe +s +r +h
attrib %windir%\0Sy.exe +s +r +h
attrib %windir%\vDll.dll +s +r +h
attrib %windir%\1Sy.exe +s +r +h
attrib %windir%\2Sy.exe +s +r +h
attrib %windir%\rundll32.exe +s +r +h
attrib %windir%\3Sy.exe +s +r +h
attrib %windir%\5Sy.exe +s +r +h
attrib %windir%\1.com +s +r +h
attrib %windir%\exerouter.exe +s +r +h
attrib %windir%\EXP10RER.com +s +r +h
attrib %windir%\finders.com +s +r +h
attrib %windir%\Shell.sys +s +r +h
attrib %windir%\kill.exe +s +r +h
attrib %windir%\sws.dll +s +r +h
attrib %windir%\sws32.dll +s +r +h
attrib %windir%\uninstall\rundl132.exe +s +r +h
attrib %windir%\SVCHOST.exe +s +r +h
attrib %windir%\WINLOGON.exe +s +r +h
attrib %windir%\RUNDLL32.EXE +s +r +h
attrib C:\"Program Files"\svchost.exe +s +r +h
attrib C:\"Program Files"\"Internet Explorer"\svchost.exe +s +r +h
attrib %windir%\Download\svchost.exe +s +r +h
attrib %windir%\system32\wldll.dll +s +r +h
net share c$ /del
net share d$ /del
net share e$ /del
net share f$ /del
net share admin$ /del
net share ipc$ /del
cls
@echo -------------------------------------
@echo viking已经全部被杀完拉,
@echo 系统已经成功免疫!
@echo 谢谢你的使用,请重启您的电脑!

去系统目录（c:\windows\system32)找下taskkill.exe在不在,如果存在把taskill换成c:\windows\system32\taskkill试试可以执行不，可以的话应该就是环境变量的问题了