最新7939.com病毒清除方法！

档案编号：CISRT2006029
病毒名称：Trojan-Downloader.Win32.Agent.aqr（Kaspersky）
病毒别名：
病毒大小：31,744 字节
加壳方式：UPX
样本MD5：e7addcce5060ab1b9e4ecf62ef8f64e1
发现时间：2006.08
更新时间：2006.08.28
关联病毒：
传播方式：通过恶意网站传播，通过其它病毒/木马下载


技术分析
==========

Realplayer.exe运行后复制自身到系统目录%System%\Realplayer.exe，在%Windows%目录下生成bat批处理删除原文件：


CODE:[Copy to clipboard]:try
del "Realplayer.exe"
if exist "Realplayer.exe" goto try
del %0
Realplayer.exe释放%System%\brlmon.dll，尝试插入Explorer.exe进程。

创建启动项：


CODE:[Copy to clipboard][HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"Realplayer.exe"="%System%\Realplayer.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Realplayer.exe"="%System%\Realplayer.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft NT\Windows\CurrentVersion\Winlogon]
"Shell"="Explorer.exe %System%\Realplayer.exe"
修改IE主页：


CODE:[Copy to clipboard][HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="http://www.7939.com/"
设置注册表信息：


CODE:[Copy to clipboard][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RunDown\info]
"vvad"="0"
以上注册表信息和%System%\brlmon.dll文件大约每2秒会监视恢复。

这个东西会结束下列进程：
fint2005.exe
Unlocker.exe
unlockerassistant.exe
HijackThis.exe
DLLShow.exe
RogueCleaner.exe
DosTools.exe
Killbox.exe
uihost.exe

尝试关闭窗口：
瑞星注册表监控提示
主动防御 警报
AVP

访问网络，从update.Virussky.com获得信息，尝试从down.Virussky.com下载更新版本。


清除步骤
==========

1. 结束%System%\Realplayer.exe进程

2. 结束%Windows%\Explorer.exe进程

3. 通过任务管理器或其它进程管理工具把%Windows%\Explorer.exe再运行起来，这样%System%\brlmon.dll就没有被加载了


4. 删除文件：
%System%\Realplayer.exe
%System%\brlmon.dll


5. 删除病毒添加的启动项：

CODE:[Copy to clipboard][HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"Realplayer.exe"="%System%\Realplayer.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Realplayer.exe"="%System%\Realplayer.exe"


6. 删除病毒添加的注册表信息：

CODE:[Copy to clipboard][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft NT]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RunDown]

7. 恢复IE主页