木马下载者Trojan-Downloader.Win32.Agent.ccpq手工清除解决方案
-
2023-11-01 05:05:34 - 来源：互联网
-
在手机上看
扫一扫立即进入手机端
手动解决办法：
1.强制结束病毒进程“svchost.exe“
2.手动删除文件
“%SystemRoot%\Debugs.inf“
“%SystemRoot%\svchost.exe“
“%SystemDriver%:\MyTemp“
“%Temp%\17853.jpg（文件名随机）“
多个“%Temp%\14362.exe（文件名随机）“
3.手动修改注册表
“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit“
变量声明：
%SystemDriver% 系统所在分区，通常为“C:\“
%SystemRoot% WINDODWS所在目录，通常为“C:\Windows“
%Documents and Settings% 用户文档目录，通常为“C:\Documents and Settings“
%Temp% 临时文件夹，通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp“
%ProgramFiles% 系统程序默认安装目录，通常为：“C:\ProgramFiles“ 病毒分析：
1.获取系统目录，创建文件“C:\WINDOWS\Debugs.inf“。
2.获取系统目录，将自身拷贝重命名为“C:\WINDOWS\svchost.exe“，并向其尾部追加大量随机数据，并创建新进程执行该文件。
3.获取系统根目录，创建文件“C:\MyTemp“，将病毒主程序全路径信息写入该文件。
4.“C:\WINDOWS\svchost.exe“执行之后：
(1)开辟新线程，读取文件“C:\MyTemp“中的记录信息，将病毒主程序删除。
(2)下载文件“http://60.16*.7*.235:999/itp.txt“保存为“C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\17853.jpg（文件名随机）“。
(3)读取“C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\17853.jpg“中的病毒网址信息，并下载保存为“C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\14362.exe（文件名随机）“，之后创建新进程执行该文件。
(4)删除文件“C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\17853.jpg（文件名随机）“。
(5)获取本地mac地址信息，发送到远程主机，如“http://11*.10.22*.188/count.asp?Mac=00-0C-**-B4-2F-EA&UserID=10018&ProcessNum=27“。
(6)设置键值项“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit“ = “C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\svchost.exe“，实现开机自启动。
(7)睡眠10分钟，重复执行上述下载动作。
病毒创建文件：
“%SystemRoot%\Debugs.inf“
“%SystemRoot%\svchost.exe“
“%SystemDriver%:\MyTemp“
“%Temp%\17853.jpg（文件名随机）“
多个“%Temp%\14362.exe（文件名随机）“
病毒删除文件：
病毒文件自身
“%Temp%\17853.jpg（文件名随机）“
病毒修改注册表：
“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit“
病毒访问网络：
“http://60.16*.7*.235:999/itp.txt“
http://11*.10.22*.188/count.asp?Mac=00-0C-**-B4-2F-EA&UserID=10018&ProcessNum=27
1.强制结束病毒进程“svchost.exe“
2.手动删除文件
“%SystemRoot%\Debugs.inf“
“%SystemRoot%\svchost.exe“
“%SystemDriver%:\MyTemp“
“%Temp%\17853.jpg（文件名随机）“
多个“%Temp%\14362.exe（文件名随机）“
3.手动修改注册表
“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit“
变量声明：
%SystemDriver% 系统所在分区，通常为“C:\“
%SystemRoot% WINDODWS所在目录，通常为“C:\Windows“
%Documents and Settings% 用户文档目录，通常为“C:\Documents and Settings“
%Temp% 临时文件夹，通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp“
%ProgramFiles% 系统程序默认安装目录，通常为：“C:\ProgramFiles“ 病毒分析：
1.获取系统目录，创建文件“C:\WINDOWS\Debugs.inf“。
2.获取系统目录，将自身拷贝重命名为“C:\WINDOWS\svchost.exe“，并向其尾部追加大量随机数据，并创建新进程执行该文件。
3.获取系统根目录，创建文件“C:\MyTemp“，将病毒主程序全路径信息写入该文件。
4.“C:\WINDOWS\svchost.exe“执行之后：
(1)开辟新线程，读取文件“C:\MyTemp“中的记录信息，将病毒主程序删除。
(2)下载文件“http://60.16*.7*.235:999/itp.txt“保存为“C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\17853.jpg（文件名随机）“。
(3)读取“C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\17853.jpg“中的病毒网址信息，并下载保存为“C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\14362.exe（文件名随机）“，之后创建新进程执行该文件。
(4)删除文件“C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\17853.jpg（文件名随机）“。
(5)获取本地mac地址信息，发送到远程主机，如“http://11*.10.22*.188/count.asp?Mac=00-0C-**-B4-2F-EA&UserID=10018&ProcessNum=27“。
(6)设置键值项“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit“ = “C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\svchost.exe“，实现开机自启动。
(7)睡眠10分钟，重复执行上述下载动作。
病毒创建文件：
“%SystemRoot%\Debugs.inf“
“%SystemRoot%\svchost.exe“
“%SystemDriver%:\MyTemp“
“%Temp%\17853.jpg（文件名随机）“
多个“%Temp%\14362.exe（文件名随机）“
病毒删除文件：
病毒文件自身
“%Temp%\17853.jpg（文件名随机）“
病毒修改注册表：
“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit“
病毒访问网络：
“http://60.16*.7*.235:999/itp.txt“
http://11*.10.22*.188/count.asp?Mac=00-0C-**-B4-2F-EA&UserID=10018&ProcessNum=27
