木马下载者Trojan-Downloader.Win32.Agent.ccpq手工清除解决方案
时间:2023-11-01 05:05:34 点击:201
手动解决办法

1.强制结束病毒进程“svchost.exe“

2.手动删除文件
“%SystemRoot%Debugs.inf“
“%SystemRoot%svchost.exe“
“%SystemDriver%:MyTemp“
“%Temp%17853.jpg(文件名随机)“
多个“%Temp%14362.exe(文件名随机)“

3.手动修改注册表
“HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionWinlogonUserinit“


变量声明:

  %SystemDriver%       系统所在分区,通常为“C:“
  %SystemRoot%        WINDODWS所在目录,通常为“C:Windows“
  %Documents and Settings%  用户文档目录,通常为“C:Documents and Settings“
  %Temp%           临时文件夹,通常为“C:Documents and Settings当前用户名称Local SettingsTemp“
  %ProgramFiles%       系统程序默认安装目录,通常为:“C:ProgramFiles“ 病毒分析:

1.获取系统目录,创建文件“C:WINDOWSDebugs.inf“。
2.获取系统目录,将自身拷贝重命名为“C:WINDOWSsvchost.exe“,并向其尾部追加大量随机数据,并创建新进程执行该文件。
3.获取系统根目录,创建文件“C:MyTemp“,将病毒主程序全路径信息写入该文件。
4.“C:WINDOWSsvchost.exe“执行之后:
(1)开辟新线程,读取文件“C:MyTemp“中的记录信息,将病毒主程序删除。
(2)下载文件“http://60.16*.7*.235:999/itp.txt“保存为“C:DOCUME~1ADMINI~1LOCALS~1Temp17853.jpg(文件名随机)“。
(3)读取“C:DOCUME~1ADMINI~1LOCALS~1Temp17853.jpg“中的病毒网址信息,并下载保存为“C:DOCUME~1ADMINI~1LOCALS~1Temp14362.exe(文件名随机)“,之后创建新进程执行该文件。
(4)删除文件“C:DOCUME~1ADMINI~1LOCALS~1Temp17853.jpg(文件名随机)“。
(5)获取本地mac地址信息,发送到远程主机,如“http://11*.10.22*.188/count.asp?Mac=00-0C-**-B4-2F-EA&UserID=10018&ProcessNum=27“。
(6)设置键值项“HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionWinlogonUserinit“ = “C:WINDOWSsystem32userinit.exe,C:WINDOWSsvchost.exe“,实现开机自启动。
(7)睡眠10分钟,重复执行上述下载动作。

病毒创建文件:

“%SystemRoot%Debugs.inf“
“%SystemRoot%svchost.exe“
“%SystemDriver%:MyTemp“
“%Temp%17853.jpg(文件名随机)“
多个“%Temp%14362.exe(文件名随机)“

病毒删除文件:

病毒文件自身
“%Temp%17853.jpg(文件名随机)“

病毒修改注册表:

“HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionWinlogonUserinit“

病毒访问网络:

“http://60.16*.7*.235:999/itp.txt“
http://11*.10.22*.188/count.asp?Mac=00-0C-**-B4-2F-EA&UserID=10018&ProcessNum=27

最新游戏更多

最新软件更多

  • 玩家推荐
  • 游戏攻略

金钼软件下载站 Copyright(C) 2008- 601958.cn All Rights Reserved!

闽ICP备2023004188号| 免责声明