Trojan.Win32.Agent.dcc pot

Chi tiết kỹ thuật Cài đặt Khi được khởi chạy, Trojan sẽ sao chép chính bản thân file thực thi của nó vào vị trí sau: %System%\drivers\runtime.sys Để đảm bảo rằng Trojan sẽ khởi chạy mỗ

Trojan.Win32.Agent.dcc

Chi tiết kỹ thuật

Cài đặt

Khi được khởi chạy, Trojan sẽ sao chép chính bản thân file thực thi của nó vào vị trí sau:

%System%\drivers\runtime.sys

Để đảm bảo rằng Trojan sẽ khởi chạy mỗi khi hệ thống được bật, nó tạo một

dịch vụ hệ thống với tên gọi “Runtime”, dịch vụ này sẽ chạy file thực thi của

Trojan mỗi khi Windows được tải Khóa registry sau sẽ được tạo:

[HKLM\System\CurrentControlSet\Services\runtime]

Sau khi cài đặt thành công, Trojan sẽ xóa file gốc của chính nó Trojan này

có tải mã độc Nó là một file Windows EXE có dung lượng 20480 byte

Hoạt động

Trojan có chứa một driver rootkit, nó sẽ che giấu sự hiện diện của các file Trojan trong ổ cứng và cũng che dấu cả các file sau:

%System%\ntoskrnl.exe

%System%\ntkrnlpa.exe

%System%\ntkrnlmp.exe

%System%\ntkrpamp.exe

Đồng thời, có chũng che giấu cả các hoạt động diễn ra của các file Trojan

khởi chạy một quá trình ẩn dưới tên "iexplore.exe" Nó tiêm nhiễm mã đọc

của nó vào trong quá trình này và sau đó download các file từ những địa chỉ sau:

208.66.194.***

66.246.252.***

208.66.195.***

74.53.42.***

74.53.42.***

Các file được download về được lưu tại:

%TEMP%\<rnd>.exe

Với <rnd> là một chuỗi số ngẫu nhiên Sau khi download thành công, các

file này sẽ bắt đầu quá trình hoạt động

Hướng dẫn gỡ bỏ

Nếu máy tính của bạn không có một chương trình diệt virus tự động cập nhật, hoặc không có một giải pháp diệt virus toàn vẹn, hãy thực hiện theo các

hướng dẫn sau để xóa bỏ mã độc khỏi máy tính:

1 Sử dụng Task Manager để dừng quá trình hoạt động của chương trình mã độc

2 Xóa khóa registry hệ thống sau:

[HKLM\System\CurrentControlSet\Services\runtime]

3 Xóa file sau:

%System%\drivers\runtime.sys

4 Xóa các file có trong thư mục %Temp%

5 Cập nhật cơ sở dữ liệu virus và thực hiện quét toàn bộ máy tính