Cách diệt Downloader.Banload.HNC

Thay đổi File hệ thống
Những fle sau sẽ được tạo trong hệ thống của bạn

1. %ProgramFiles%\winrar\2.bat
2. %ProgramFiles%\winrar\2b.exe
3. %ProgramFiles%\winrar\2b.txt
4. %Windir%\Help\EB6C4499B05F.dll
5. %Windir%\Help\EB6C4499B05F.exeTrojan.Packed.NsAnti
Folder sẽ được tạo trong hệ thống :
.%ProgramFiles%\winrar

Thay đổi bộ nhớ
Những tiến trình được tạo mới trong hệ thống :

%ProgramFiles%\winrar\2b.exe
%Windir%\help\eb6c4499b05f.exe
%ProgramFiles%\winrar\882.exe

Nó sẽ tạo một trang nhớ trong vùng trống địa chỉ của tiến trình hệ thống :
%System%\notepad.exe

Những modules sẽ được load trong address space của các tiến trình khác nhau :

%Windir%\help\EB6C4499B05F.dll Process name: explorer.exe

%Windir%\help\EB6C4499B05F.dll Process name: msmsgs.exe
Process filename: %ProgramFiles%\messenger\msmsgs.exe

%Windir%\help\EB6C4499B05F.dll Process name: dllhost.exe
Process filename: %System%\dllhost.exe

%Windir%\help\EB6C4499B05F.dll Process name: sdnsmain.exe
Process filename: %Windir%\dns\sdnsmain.exe

%Windir%\help\EB6C4499B05F.dll Process name: IEXPLORE.EXE
Process filename: %ProgramFiles%\internet explorer\iexplore.exe

%Windir%\help\EB6C4499B05F.dll Process name: notepad.exe
Process filename: %System%\notepad.exe


Tinh chỉnh Registry
Những registry key sau sẽ được tạo :

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1DBD657 4-D6D0-4782-94C3-69619E719765}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1DBD657 4-D6D0-4782-94C3-69619E719765}\InProcServer32
HKEY_CURRENT_USER\Software\WinRAR SFX

Những key sau sẽ bị thay đổi giá trị :

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1DBD657 4-D6D0-4782-94C3-69619E719765}\InProcServer32]
(Default) = "%Windir%\help\EB6C4499B05F.dll"
ThreadingModel = "Apartment"
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1DBD657 4-D6D0-4782-94C3-69619E719765}]
(Default) = "SSUUDL"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\ShellExecuteHooks]
{1DBD6574-D6D0-4782-94C3-69619E719765} = ""
[HKEY_CURRENT_USER\Software\WinRAR SFX]
C%%Program Files%winrar = "%ProgramFiles%\winrar"


Xuất xứ : CHINA
Khi trình duyệt được mở nó sẽ tự động download chương trình từ URL này :

http://mgaazz.com/xxc/ddr1.rar%System%\ddr1.exe

Cách khắc phục : Xóa hết các file, folder và các Registry key ở trên