|
trojan-dropper.win32.agent该病毒运行后，衍生病毒文件到系统目录下。添加注册表启动项，以达到开机加载病毒体的目的。连接某网址:update.*****.cn(***.208.170.72) ，jump.*****.cn:80(***.241.97.33)。下载病毒文件到本机运行，添加系统服务项，插入ie的bho对象。并衍生文件到%system32\drivers%目录下，造成卸载困难。
清除方案:
1、建议使用安天木马防线可彻底清除此病毒(推荐)
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
cdnup.exe
(2) 删除病毒衍生文件
%program files%\cnnic\
%windows\system32%\cdndisp.tmp
%windows\system32%\cdnns.dll
%windows\system32%\cdnprot.dat
%windows\system32\drivers%\cdnprot.sys
%documents and settings\用户名\local settings\temp\%1c\
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
hkey_local_machine\software\microsoft\windows\currentversion\run\cdnctr 键值: 字符串:"%programfiles%\cnnic\cdn\cdnup.exe"
hklm\software\microsoft\windows\currentversion\explorer\browser helper objects 键值: 字符串: “%programfiles%\cnnic\cdn\cdnforie.dll”
hkey_local_machine\system\controlset001\services\cdnprot\descriptionname 键值: 字符串: "cdnprot"
hkey_local_machine\system\controlset001\services\cdnprot\imagepath 键值: 类型: reg_expand_sz 长度: 29 (0x1d) 字节 system32\drivers\cdnprot.sys.
| 
