木马下载者Trojan-Downloader.Win32.FakeFolder.c手工清除解决方案
- 2023-07-20 05:03:19
- 来源:其他
- 在手机上看
扫一扫立即进入手机端
手动解决办法:
1.停止并删除服务“Avt-Net“
2.手动删除文件
“%ProgramFiles%\vvpvs.exe“
“%ProgramFiles%\syslass.cpl“
“%SystemRoot%\system32\svcnet32.dll“
“%ProgramFiles%\Common Files\Plugins\index.txt“
“%ProgramFiles%\Common Files\Plugins“目录中多个文件
可移动磁盘中图标为文件夹格式的所有exe文件
3.手动修改注册表
删除键值项
“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost\Avt-Net“
“HKEY_CLASSES_ROOT\exefile\NeverShowExt“
修改删除键值项
“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced \Hidden“
“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ShowSuperHidden“
“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ Advanced\Folder\Hidden\SHOWALL\CheckedValue“
变量声明:
%SystemDriver% 系统所在分区,通常为“C:\“
%SystemRoot% WINDODWS所在目录,通常为“C:\Windows“
%Documents and Settings% 用户文档目录,通常为“C:\Documents and Settings“
%Temp% 临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp“
%ProgramFiles% 系统程序默认安装目录,通常为:“C:\ProgramFiles“ 病毒分析:
1.将自身拷贝重命名为“C:\Program Files\vvpvs.exe“,并创建新进程执行该文件。
2.创建新进程,执行命令“C:\WINDOWS\system32\cmd.exe/c del 病毒主程序 > nul“,将自身文件删除。
3.“C:\Program Files\vvpvs.exe“执行之后:
(1)将自身拷贝重命名为“C:\Program Files\syslass.cpl“,设置该文件属性为只读、系统、隐藏,并设置自身文件属性为隐藏。
(2)创建名字为“Avt-Net“的服务,执行映像指向“%SystemRoot%\system32\svchost -k Avt-Net“,启动类型为自动,并设置该服务的“Description“、“Group“、“Type“ 、“FailureAction“等属性。
(3)获取系统目录,创建文件“C:\WINDOWS\system32\svcnet32.dll“,写入病毒数据,设置该文件属性为只读、系统、隐藏。
(4)设置键值项“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Avt-Net\Parameters\ServiceDll“ = “%SystemRoot%\system32\svcnet32.dll“、“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost\Avt-Net“ = “Avt-Net“,之后启动服务“Avt-Net“。
(5)设置键值项“HKEY_CLASSES_ROOT\exefile\NeverShowExt“ = 0
“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ Advanced\Hidden“ = 2
“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ShowSuperHidden“ = 0
“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ Folder\Hidden\SHOWALL\CheckedValue“ = 0x00000001 (1)以隐藏文件扩展名和隐藏文件。
(6)创建新进程,执行命令“C:\WINDOWS\system32\cmd.exe/c del C:\PROGRA~1\vvpvs.exe > nul“,将自身文件删除。
4.“Avt-Net“服务运行之后:
(1)创建名字为“_u_hook“的互斥对象,防止重复运行。
(2)创建目录“C:\Program Files\Common Files\Plugins\“,解密网址,下载文件“http://messager.x**p.net:99/index.txt“保存为“C:\Program Files\Common Files\Plugins\index.txt“。
(3)读取文件“C:\Program Files\Common Files\Plugins\index.txt“中的病毒网址信息并下载到本地目录“C:\Program Files\Common Files\Plugins\“中,设置病毒文件属性为隐藏,并创建新进程执行,之后删除文件“C:\Program Files\Common Files\Plugins\index.txt“。
(4)遍历所有可移动磁盘,并将其中所有文件夹设置属性为只读、系统、隐藏,并将病毒文件拷贝重命名为同名文件,迷惑用户点击,已达到恶意传播的目的。
病毒创建文件:
“%ProgramFiles%\vvpvs.exe“
“%ProgramFiles%\syslass.cpl“
“%SystemRoot%\system32\svcnet32.dll“
“%ProgramFiles%\Common Files\Plugins\index.txt“
“%ProgramFiles%\Common Files\Plugins“目录中多个文件
可移动磁盘中图标为文件夹格式的所有exe文件
病毒删除文件:
“%ProgramFiles%\vvpvs.exe“
“%ProgramFiles%\Common Files\Plugins\index.txt“
病毒文件自身
病毒修改注册表:
创建键值项:
“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost\Avt-Net“
“HKEY_CLASSES_ROOT\exefile\NeverShowExt“
修改键值项:
“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ Hidden“
“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ShowSuperHidden“
“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ Folder\Hidden\SHOWALL\CheckedValue“
病毒访问网络:
“http://messager.x**p.net:99/index.txt“以及从该文件中读取的多个病毒文件网址
“http://www.mili****foucs.net:99“
1.停止并删除服务“Avt-Net“
2.手动删除文件
“%ProgramFiles%\vvpvs.exe“
“%ProgramFiles%\syslass.cpl“
“%SystemRoot%\system32\svcnet32.dll“
“%ProgramFiles%\Common Files\Plugins\index.txt“
“%ProgramFiles%\Common Files\Plugins“目录中多个文件
可移动磁盘中图标为文件夹格式的所有exe文件
3.手动修改注册表
删除键值项
“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost\Avt-Net“
“HKEY_CLASSES_ROOT\exefile\NeverShowExt“
修改删除键值项
“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced \Hidden“
“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ShowSuperHidden“
“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ Advanced\Folder\Hidden\SHOWALL\CheckedValue“
变量声明:
%SystemDriver% 系统所在分区,通常为“C:\“
%SystemRoot% WINDODWS所在目录,通常为“C:\Windows“
%Documents and Settings% 用户文档目录,通常为“C:\Documents and Settings“
%Temp% 临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp“
%ProgramFiles% 系统程序默认安装目录,通常为:“C:\ProgramFiles“ 病毒分析:
1.将自身拷贝重命名为“C:\Program Files\vvpvs.exe“,并创建新进程执行该文件。
2.创建新进程,执行命令“C:\WINDOWS\system32\cmd.exe/c del 病毒主程序 > nul“,将自身文件删除。
3.“C:\Program Files\vvpvs.exe“执行之后:
(1)将自身拷贝重命名为“C:\Program Files\syslass.cpl“,设置该文件属性为只读、系统、隐藏,并设置自身文件属性为隐藏。
(2)创建名字为“Avt-Net“的服务,执行映像指向“%SystemRoot%\system32\svchost -k Avt-Net“,启动类型为自动,并设置该服务的“Description“、“Group“、“Type“ 、“FailureAction“等属性。
(3)获取系统目录,创建文件“C:\WINDOWS\system32\svcnet32.dll“,写入病毒数据,设置该文件属性为只读、系统、隐藏。
(4)设置键值项“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Avt-Net\Parameters\ServiceDll“ = “%SystemRoot%\system32\svcnet32.dll“、“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost\Avt-Net“ = “Avt-Net“,之后启动服务“Avt-Net“。
(5)设置键值项“HKEY_CLASSES_ROOT\exefile\NeverShowExt“ = 0
“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ Advanced\Hidden“ = 2
“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ShowSuperHidden“ = 0
“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ Folder\Hidden\SHOWALL\CheckedValue“ = 0x00000001 (1)以隐藏文件扩展名和隐藏文件。
(6)创建新进程,执行命令“C:\WINDOWS\system32\cmd.exe/c del C:\PROGRA~1\vvpvs.exe > nul“,将自身文件删除。
4.“Avt-Net“服务运行之后:
(1)创建名字为“_u_hook“的互斥对象,防止重复运行。
(2)创建目录“C:\Program Files\Common Files\Plugins\“,解密网址,下载文件“http://messager.x**p.net:99/index.txt“保存为“C:\Program Files\Common Files\Plugins\index.txt“。
(3)读取文件“C:\Program Files\Common Files\Plugins\index.txt“中的病毒网址信息并下载到本地目录“C:\Program Files\Common Files\Plugins\“中,设置病毒文件属性为隐藏,并创建新进程执行,之后删除文件“C:\Program Files\Common Files\Plugins\index.txt“。
(4)遍历所有可移动磁盘,并将其中所有文件夹设置属性为只读、系统、隐藏,并将病毒文件拷贝重命名为同名文件,迷惑用户点击,已达到恶意传播的目的。
病毒创建文件:
“%ProgramFiles%\vvpvs.exe“
“%ProgramFiles%\syslass.cpl“
“%SystemRoot%\system32\svcnet32.dll“
“%ProgramFiles%\Common Files\Plugins\index.txt“
“%ProgramFiles%\Common Files\Plugins“目录中多个文件
可移动磁盘中图标为文件夹格式的所有exe文件
病毒删除文件:
“%ProgramFiles%\vvpvs.exe“
“%ProgramFiles%\Common Files\Plugins\index.txt“
病毒文件自身
病毒修改注册表:
创建键值项:
“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost\Avt-Net“
“HKEY_CLASSES_ROOT\exefile\NeverShowExt“
修改键值项:
“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ Hidden“
“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ShowSuperHidden“
“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ Folder\Hidden\SHOWALL\CheckedValue“
病毒访问网络:
“http://messager.x**p.net:99/index.txt“以及从该文件中读取的多个病毒文件网址
“http://www.mili****foucs.net:99“
相关资讯
更多-
水泉漫画
中文|1.95MB
-
守门员训练
中文|22.34MB
-
QQ病毒木马专杀工具
中文|784KB
-
木马专家电脑版
中文|33.6M
-
QQ正式版增强版
中文|88M
-
RunE Force健身系统
中文|67.7M
-
水泉漫画
中文|1.95MB
-
三星手机固件下载器(hadesFirm)
中文|3.8M
-
下载解码器qedit.dll
中文|255KB
-
mtv下载伴侣电脑版
中文|15.2M
-
MusicTools单文件版无损音乐下载器
中文|5.2M
-
bt下载工具PicoTorrent
中文|10.3M
-
中文|
-
QQ病毒木马专杀工具
中文|784KB
-
木马专家电脑版
中文|33.6M