2020每曰更新国产精品视频,水蜜桃亚洲一二三四在线,国产日产精品系列

您當(dāng)前所在位置：首頁(yè) → 網(wǎng)絡(luò)安全 → 病毒防治 → 木馬下載者Trojan-Downloader.Win32.Agent.ccpq手工清除解決方案

木馬下載者Trojan-Downloader.Win32.Agent.ccpq手工清除解決方案 時(shí)間：2015-06-28 00:00:00 來(lái)源：IT貓撲網(wǎng) 作者：網(wǎng)管聯(lián)盟 我要評(píng)論(0): 手動(dòng)解決辦法：

1.強(qiáng)制結(jié)束病毒進(jìn)程"svchost.exe"

2.手動(dòng)刪除文件
"%SystemRoot%\Debugs.inf"
"%SystemRoot%\svchost.exe"
"%SystemDriver%:\MyTemp"
"%Temp%\17853.jpg（文件名隨機(jī)）"
多個(gè)"%Temp%\14362.exe（文件名隨機(jī)）"

3.手動(dòng)修改注冊(cè)表
"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit"

變量聲明：

　　%SystemDriver%　　　　　　　系統(tǒng)所在分區(qū)，通常為"C:\"
　　%SystemRoot%　　　　　　　　WINDODWS所在目錄，通常為"C:\Windows"
　　%Documents and Settings%　　用戶(hù)文檔目錄，通常為"C:\Documents and Settings"
　　%Temp%　　　　　　　　　　　臨時(shí)文件夾，通常為"C:\Documents and Settings\當(dāng)前用戶(hù)名稱(chēng)\Local Settings\Temp"
　　%ProgramFiles%　　　　　　　系統(tǒng)程序默認(rèn)安裝目錄，通常為："C:\ProgramFiles" 病毒分析：

1.獲取系統(tǒng)目錄，創(chuàng)建文件"C:\WINDOWS\Debugs.inf"。
2.獲取系統(tǒng)目錄，將自身拷貝重命名為"C:\WINDOWS\svchost.exe"，并向其尾部追加大量隨機(jī)數(shù)據(jù)，并創(chuàng)建新進(jìn)程執(zhí)行該文件。
3.獲取系統(tǒng)根目錄，創(chuàng)建文件"C:\MyTemp"，將病毒主程序全路徑信息寫(xiě)入該文件。
4."C:\WINDOWS\svchost.exe"執(zhí)行之后：
(1)開(kāi)辟新線(xiàn)程，讀取文件"C:\MyTemp"中的記錄信息，將病毒主程序刪除。
(2)下載文件"http://60.16*.7*.235:999/itp.txt"保存為"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\17853.jpg（文件名隨機(jī)）"。
(3)讀取"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\17853.jpg"中的病毒網(wǎng)址信息，并下載保存為"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\14362.exe（文件名隨機(jī)）"，之后創(chuàng)建新進(jìn)程執(zhí)行該文件。
(4)刪除文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\17853.jpg（文件名隨機(jī)）"。
(5)獲取本地mac地址信息，發(fā)送到遠(yuǎn)程主機(jī)，如"http://11*.10.22*.188/count.asp?Mac=00-0C-**-B4-2F-EA&UserID=10018&ProcessNum=27"。
(6)設(shè)置鍵值項(xiàng)"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit" = "C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\svchost.exe"，實(shí)現(xiàn)開(kāi)機(jī)自啟動(dòng)。
(7)睡眠10分鐘，重復(fù)執(zhí)行上述下載動(dòng)作。

病毒創(chuàng)建文件：

"%SystemRoot%\Debugs.inf"
"%SystemRoot%\svchost.exe"
"%SystemDriver%:\MyTemp"
"%Temp%\17853.jpg（文件名隨機(jī)）"
多個(gè)"%Temp%\14362.exe（文件名隨機(jī)）"

病毒刪除文件：

病毒文件自身
"%Temp%\17853.jpg（文件名隨機(jī)）"

病毒修改注冊(cè)表：

"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit"

病毒訪(fǎng)問(wèn)網(wǎng)絡(luò)：

"http://60.16*.7*.235:999/itp.txt"
http://11*.10.22*.188/count.asp?Mac=00-0C-**-B4-2F-EA&UserID=10018&ProcessNum=27
關(guān)鍵詞標(biāo)簽：木馬下載者,解決方案

相關(guān)閱讀

文章評(píng)論

查看所有0條評(píng)論>>