Trojan.BAT.EMANSREPO.A

它以文件的形式出现在系统中，可能是其他恶意软件投放的，或者是用户在访问恶意网站时无意中下载的。

它删除文件，禁止程序和应用程序正常运行。

但截至本文截稿时为止，上述网站均不可访问。

新病毒详细信息

它以文件的形式出现在系统中，可能是其他恶意软件投放的，或者是用户在访问恶意网站时无意中下载的。

安装

它添加下列进程：

• powershell -command "Start-Process powershell -ArgumentList '-NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -File "%User Temp%\script.ps1"' -NoNewWindow -Wait"

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000(32-bit)、XP 和 Server 2003(32-bit))、C:\Users\{user name}\AppData\Local\Temp (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit)。)

其他系统修改

它删除下列文件：

• %User Temp%\script.ps1

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000(32-bit)、XP 和 Server 2003(32-bit))、C:\Users\{user name}\AppData\Local\Temp (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit)。)

下载例程

它使用下列文件名保存下载的文件：

• %User Temp%\script.ps1 → detected as Trojan.PS1.EMANSREPO.A

但截至本文截稿时为止，上述网站均不可访问。

其他详细信息

该程序执行以下操作：

• It checks if %User Temp%\script.ps1 exists.
  • If not, it connects to http://{BLOCKED}.{BLOCKED}.{BLOCKED}.185/script.ps1 to download a malicious script, save it as %User Temp%\script.ps1, execute it, and deletes it afterward.
  • If it exists, it terminates itself