-
您當(dāng)前所在位置：首頁 → 網(wǎng)絡(luò)安全 → 病毒防治 → 木馬下載者Trojan-Downloader.Win32.Agent.ccpq手工清除解決方案
木馬下載者Trojan-Downloader.Win32.Agent.ccpq手工清除解決方案
時間：2015/6/28來源：IT貓撲網(wǎng)作者：網(wǎng)管聯(lián)盟我要評論(0)
-
手動解決辦法：
1.強制結(jié)束病毒進程"svchost.exe"
2.手動刪除文件
"%SystemRoot%\Debugs.inf"
"%SystemRoot%\svchost.exe"
"%SystemDriver%:\MyTemp"
"%Temp%\17853.jpg（文件名隨機）"
多個"%Temp%\14362.exe（文件名隨機）"
3.手動修改注冊表
"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit"
變量聲明：
%SystemDriver% 系統(tǒng)所在分區(qū)，通常為"C:\"
%SystemRoot% WINDODWS所在目錄，通常為"C:\Windows"
%Documents and Settings% 用戶文檔目錄，通常為"C:\Documents and Settings"
%Temp% 臨時文件夾，通常為"C:\Documents and Settings\當(dāng)前用戶名稱\Local Settings\Temp"
%ProgramFiles% 系統(tǒng)程序默認安裝目錄，通常為："C:\ProgramFiles" 病毒分析：
1.獲取系統(tǒng)目錄，創(chuàng)建文件"C:\WINDOWS\Debugs.inf"。
2.獲取系統(tǒng)目錄，將自身拷貝重命名為"C:\WINDOWS\svchost.exe"，并向其尾部追加大量隨機數(shù)據(jù)，并創(chuàng)建新進程執(zhí)行該文件。
3.獲取系統(tǒng)根目錄，創(chuàng)建文件"C:\MyTemp"，將病毒主程序全路徑信息寫入該文件。
4."C:\WINDOWS\svchost.exe"執(zhí)行之后：
(1)開辟新線程，讀取文件"C:\MyTemp"中的記錄信息，將病毒主程序刪除。
(2)下載文件"https://60.16*.7*.235:999/itp.txt"保存為"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\17853.jpg（文件名隨機）"。
(3)讀取"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\17853.jpg"中的病毒網(wǎng)址信息，并下載保存為"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\14362.exe（文件名隨機）"，之后創(chuàng)建新進程執(zhí)行該文件。
(4)刪除文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\17853.jpg（文件名隨機）"。
(5)獲取本地mac地址信息，發(fā)送到遠程主機，如"https://11*.10.22*.188/count.asp?Mac=00-0C-**-B4-2F-EA&UserID=10018&ProcessNum=27"。
(6)設(shè)置鍵值項"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit" = "C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\svchost.exe"，實現(xiàn)開機自啟動。
(7)睡眠10分鐘，重復(fù)執(zhí)行上述下載動作。
病毒創(chuàng)建文件：
"%SystemRoot%\Debugs.inf"
"%SystemRoot%\svchost.exe"
"%SystemDriver%:\MyTemp"
"%Temp%\17853.jpg（文件名隨機）"
多個"%Temp%\14362.exe（文件名隨機）"
病毒刪除文件：
病毒文件自身
"%Temp%\17853.jpg（文件名隨機）"
病毒修改注冊表：
"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit"
病毒訪問網(wǎng)絡(luò)：
"https://60.16*.7*.235:999/itp.txt"
https://11*.10.22*.188/count.asp?Mac=00-0C-**-B4-2F-EA&UserID=10018&ProcessNum=27
關(guān)鍵詞標(biāo)簽：木馬下載者,解決方案
相關(guān)閱讀
-
熱門文章
如何使HIPS 防止U盤病毒的入侵
用小工具巧殺計算機病毒
Windows 17年的老漏洞(VDM 0day)須警惕
光驅(qū)也瘋狂 Autorun病毒冒充文件夾
人氣排行
解決alexa.exe自動彈出網(wǎng)頁病毒卡巴斯基2017激活教程_卡巴斯基2017用授權(quán)文件KEY激活的方法(完美卡巴斯基2017破解版_Kaspersky卡巴斯基2017激活碼/授權(quán)許可文件K更改文件權(quán)限--處理另類無法刪除病毒comine.exe 病毒清除方法ekrn.exe占用CPU 100%的解決方案當(dāng)殺毒軟件無能為力時，手動殺毒(利用系統(tǒng)自帶命令查殺病毒)也許發(fā)Rootkit.Ads.i 和Trojan.DL.Mach.c病毒如何清除
