Trojan.BAT.POWLOAD.M

Step 1

在进行任何扫描之前，Windows 7、Windows 8、Windows 8.1 和 Windows 10 用户必须先执行以下操作： 禁用 系统还原 以便对电脑进行全面扫描。

Step 2

注意：在此恶意软件/间谍软件/灰色软件执行期间，并非所有文件、文件夹和注册表键值和项都会安装到您的计算机上。这可能是由于不完整的安装或其他操作系统条件所致。如果您没有找到相同的文件/文件夹/注册表信息，请继续进行下一步操作。

Step 3

以安全模式重启

要进入安全模式重启：

• For Windows 7 and Windows Server 2008 (R2) users

1. 重启你的电脑。
2. 按下F8 在开机自检（POST）程序完成后。如果 高级启动选项 若未出现菜单，请尝试重启计算机，并在POST界面显示后多次按F8键。
3. 在高级启动选项菜单中，使用方向键选择Safe Mode 选项，然后按 Enter.

• For Windows 8, Windows 8.1, and Windows Server 2012 users

1. 访问Charms bar 将鼠标指针移至屏幕右上角即可。
2. 将鼠标指针向下移动并点击 Settings>更改您的电脑设置.
3. 在左侧面板中，点击“通用”。
4. 在右侧面板中，向下滚动至底部找到 Advanced startup 部分，然后点击 Restart now 按钮并等待系统重启。
5. 在Advanced Startup 菜单中，点击 Troubleshoot>Advanced Options>Startup Settings>Restart 并等待系统重启。
6. 在Startup Settings 菜单中，按下 4 以启用安全模式。

• 对于 Windows 10 用户：

1. 按下Windows logo key + I 键打开“设置”。若无效，请选择 Start按钮，然后选择Settings.
2. 选择Update & Security > Recovery.
3. 在Advanced startup, select Restart now.
4. 当您的电脑重启进入 请选择一个选项 屏幕上，选择Troubleshoot > Advcanced options > 启动设置 > Restart.
5. 电脑重启后，您将看到一系列选项。请选择4 或按 F4 以安全模式启动您的电脑。

Step 4

删除此注册表值

Important: 编辑 Windows Registry 操作不当可能导致系统出现无法恢复的故障。请务必仅在您熟悉相关步骤的情况下执行；如有疑问，可寻求系统管理员的协助。否则，请查看下方链接。 Microsoft article 修改计算机注册表前请务必先进行此操作.

• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • LanguageList = en-US, en
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\AccessibilityCpl.dll,-10 = Ease of Access Center
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\ie4uinit.exe,-737 = Internet Explorer (No Add-ons)
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\wucltux.dll,-1 = Windows Update
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%Windows%\ehome\ehres.dll,-100 = Windows Media Center
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%Program Files%\Windows Sidebar\sidebar.exe,-1005 = Desktop Gadget Gallery
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%Program Files%\DVD Maker\DVDMaker.exe,-61403 = Windows DVD Maker
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%Program Files%\Common Files\Microsoft Shared\Ink\mip.exe,-291 = Math Input Panel
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\mblctr.exe,-1008 = Windows Mobility Center
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\NetProjW.dll,-501 = Connect to a Network Projector
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\mstsc.exe,-4000 = Remote Desktop Connection
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\SoundRecorder.exe,-100 = Sound Recorder
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\SyncCenter.dll,-3000 = Sync Center
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\Speech\SpeechUX\sapi.cpl,-5555 = Windows Speech Recognition
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\dfrgui.exe,-103 = Disk Defragmenter
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\wdc.dll,-10030 = Resource Monitor
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\msinfo32.exe,-100 = System Information
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\rstrui.exe,-100 = System Restore
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\miguiresource.dll,-201 = Task Scheduler
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\migwiz\wet.dll,-591 = Windows Easy Transfer Reports
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\migwiz\wet.dll,-588 = Windows Easy Transfer
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%Program Files%\Common Files\Microsoft Shared\Ink\ShapeCollector.exe,-298 = Personalize Handwriting Recognition
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%Program Files%\Common Files\Microsoft Shared\Ink\TipTsf.dll,-80 = Tablet PC Input Panel
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%Program Files%\Windows Journal\Journal.exe,-3074 = Windows Journal
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\WindowsPowerShell\v1.0\powershell.exe,-101 = Windows PowerShell ISE
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\comres.dll,-3410 = Component Services
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\mycomput.dll,-300 = Computer Management
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\odbcint.dll,-1310 = Data Sources (ODBC)
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\miguiresource.dll,-101 = Event Viewer
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\iscsicpl.dll,-5001 = iSCSI Initiator
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\MdSched.exe,-4001 = Windows Memory Diagnostic
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\wdc.dll,-10021 = Performance Monitor
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\pmcsnap.dll,-700 = Print Management
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\wsecedit.dll,-718 = Local Security Policy
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\filemgmt.dll,-2204 = Services
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\msconfig.exe,-126 = System Configuration
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\AuthFWGP.dll,-20 = Windows Firewall with Advanced Security
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\gameux.dll,-10082 = Games Explorer
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\sdcpl.dll,-101 = Backup and Restore
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\recdisc.exe,-2000 = Create a System Repair Disc
    
• In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
  • @%System%\msra.exe,-100 = Windows Remote Assistance
    
• In HKEY_CURRENT_USER\Environment
  • Lunaria = %System%\WindowsPowerShell\v1.0\powershell.exe
    
• In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
  • Counterreplying83 = %Lunaria% -windowstyle 1 $Trykkammerets=(gi 'HKEY_CURRENT_USER:\Software\Komprimeringerne\').GetValue('Missionshotellet');%Lunaria% ($Trykkammerets)
    
• In HKEY_CURRENT_USER\Software\juynvfpoils-YFZCIY
  • exepath = {Hex Values}
    
• In HKEY_CURRENT_USER\Software\juynvfpoils-YFZCIY
  • licence = BBA2FC804C4F253162217A6FFC73E369
    
• In HKEY_CURRENT_USER\Software\juynvfpoils-YFZCIY
  • time = 1743220494
    
• In HKEY_CURRENT_USER\Software\juynvfpoils-YFZCIY
  • UID = 506762904
    

要删除此恶意软件创建的注册表值：

1. 打开注册表编辑器。 为此，请执行以下操作:
   » 对于 Windows 7 和 Windows Server 2008 (R2) 用户，请点击 Start button, type regedit in the Search输入字段，然后按下Enter.
   » 对于 Windows 8、Windows 8.1、10 及 Windows Server 2012 (R2) 用户，请右键单击屏幕左下角，点击 Run, type regedit 在提供的文本框中，然后点击 Enter.
2. 在注册表编辑器窗口的左侧面板中，双击以下项目：
   HKEY_USER>S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES>Local Settings>MuiCache>44>52C64B7E
3. 在右侧面板中，找到并删除以下条目：
   LanguageList = en-US, en
4. Again 在右侧面板中，找到并删除以下条目：
   @%System%\AccessibilityCpl.dll,-10 = Ease of Access Center
5. Again 在右侧面板中，找到并删除以下条目：
   @%System%\ie4uinit.exe,-737 = Internet Explorer (No Add-ons)
6. Again 在右侧面板中，找到并删除以下条目：
   @%System%\wucltux.dll,-1 = Windows Update
7. Again 在右侧面板中，找到并删除以下条目：
   @%Windows%\ehome\ehres.dll,-100 = Windows Media Center
8. Again 在右侧面板中，找到并删除以下条目：
   @%Program Files%\Windows Sidebar\sidebar.exe,-1005 = Desktop Gadget Gallery
9. Again 在右侧面板中，找到并删除以下条目：
   @%Program Files%\DVD Maker\DVDMaker.exe,-61403 = Windows DVD Maker
10. Again 在右侧面板中，找到并删除以下条目：
    @%Program Files%\Common Files\Microsoft Shared\Ink\mip.exe,-291 = Math Input Panel
11. Again 在右侧面板中，找到并删除以下条目：
    @%System%\mblctr.exe,-1008 = Windows Mobility Center
12. Again 在右侧面板中，找到并删除以下条目：
    @%System%\NetProjW.dll,-501 = Connect to a Network Projector
13. Again 在右侧面板中，找到并删除以下条目：
    @%System%\mstsc.exe,-4000 = Remote Desktop Connection
14. Again 在右侧面板中，找到并删除以下条目：
    @%System%\SoundRecorder.exe,-100 = Sound Recorder
15. Again 在右侧面板中，找到并删除以下条目：
    @%System%\SyncCenter.dll,-3000 = Sync Center
16. Again 在右侧面板中，找到并删除以下条目：
    @%System%\Speech\SpeechUX\sapi.cpl,-5555 = Windows Speech Recognition
17. Again 在右侧面板中，找到并删除以下条目：
    @%System%\dfrgui.exe,-103 = Disk Defragmenter
18. Again 在右侧面板中，找到并删除以下条目：
    @%System%\wdc.dll,-10030 = Resource Monitor
19. Again 在右侧面板中，找到并删除以下条目：
    @%System%\msinfo32.exe,-100 = System Information
20. Again 在右侧面板中，找到并删除以下条目：
    @%System%\rstrui.exe,-100 = System Restore
21. Again 在右侧面板中，找到并删除以下条目：
    @%System%\miguiresource.dll,-201 = Task Scheduler
22. Again 在右侧面板中，找到并删除以下条目：
    @%System%\migwiz\wet.dll,-591 = Windows Easy Transfer Reports
23. Again 在右侧面板中，找到并删除以下条目：
    @%System%\migwiz\wet.dll,-588 = Windows Easy Transfer
24. Again 在右侧面板中，找到并删除以下条目：
    @%Program Files%\Common Files\Microsoft Shared\Ink\ShapeCollector.exe,-298 = Personalize Handwriting Recognition
25. Again 在右侧面板中，找到并删除以下条目：
    @%Program Files%\Common Files\Microsoft Shared\Ink\TipTsf.dll,-80 = Tablet PC Input Panel
26. Again 在右侧面板中，找到并删除以下条目：
    @%Program Files%\Windows Journal\Journal.exe,-3074 = Windows Journal
27. Again 在右侧面板中，找到并删除以下条目：
    @%System%\WindowsPowerShell\v1.0\powershell.exe,-101 = Windows PowerShell ISE
28. Again 在右侧面板中，找到并删除以下条目：
    @%System%\comres.dll,-3410 = Component Services
29. Again 在右侧面板中，找到并删除以下条目：
    @%System%\mycomput.dll,-300 = Computer Management
30. Again 在右侧面板中，找到并删除以下条目：
    @%System%\odbcint.dll,-1310 = Data Sources (ODBC)
31. Again 在右侧面板中，找到并删除以下条目：
    @%System%\miguiresource.dll,-101 = Event Viewer
32. Again 在右侧面板中，找到并删除以下条目：
    @%System%\iscsicpl.dll,-5001 = iSCSI Initiator
33. Again 在右侧面板中，找到并删除以下条目：
    @%System%\MdSched.exe,-4001 = Windows Memory Diagnostic
34. Again 在右侧面板中，找到并删除以下条目：
    @%System%\wdc.dll,-10021 = Performance Monitor
35. Again 在右侧面板中，找到并删除以下条目：
    @%System%\pmcsnap.dll,-700 = Print Management
36. Again 在右侧面板中，找到并删除以下条目：
    @%System%\wsecedit.dll,-718 = Local Security Policy
37. Again 在右侧面板中，找到并删除以下条目：
    @%System%\filemgmt.dll,-2204 = Services
38. Again 在右侧面板中，找到并删除以下条目：
    @%System%\msconfig.exe,-126 = System Configuration
39. Again 在右侧面板中，找到并删除以下条目：
    @%System%\AuthFWGP.dll,-20 = Windows Firewall with Advanced Security
40. Again 在右侧面板中，找到并删除以下条目：
    @%System%\gameux.dll,-10082 = Games Explorer
41. Again 在右侧面板中，找到并删除以下条目：
    @%System%\sdcpl.dll,-101 = Backup and Restore
42. Again 在右侧面板中，找到并删除以下条目：
    @%System%\recdisc.exe,-2000 = Create a System Repair Disc
43. Again 在右侧面板中，找到并删除以下条目：
    @%System%\msra.exe,-100 = Windows Remote Assistance
44. 在注册表编辑器窗口的左侧面板中，双击以下项目：
    HKEY_CURRENT_USER>Environment
45. 在右侧面板中，找到并删除以下条目：
    Lunaria = %System%\WindowsPowerShell\v1.0\powershell.exe
46. 在注册表编辑器窗口的左侧面板中，双击以下项目：
    HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run
47. 在右侧面板中，找到并删除以下条目：
    Counterreplying83 = %Lunaria% -windowstyle 1 $Trykkammerets=(gi 'HKEY_CURRENT_USER:\Software\Komprimeringerne\').GetValue('Missionshotellet');%Lunaria% ($Trykkammerets)
48. 在注册表编辑器窗口的左侧面板中，双击以下项目：
    HKEY_CURRENT_USER>Software>juynvfpoils-YFZCIY
49. 在右侧面板中，找到并删除以下条目：
    exepath = {Hex Values}
50. Again 在右侧面板中，找到并删除以下条目：
    licence = BBA2FC804C4F253162217A6FFC73E369
51. Again 在右侧面板中，找到并删除以下条目：
    time = 1743220494
52. Again 在右侧面板中，找到并删除以下条目：
    UID = 506762904
53. 关闭注册表编辑器。

Step 5

删除此注册表项

Important: 编辑 Windows Registry 操作不当可能导致系统出现无法恢复的故障。请务必仅在您熟悉相关步骤的情况下执行；如有疑问，可寻求系统管理员的协助。否则，请查看下方链接。 Microsoft article 修改计算机注册表前请务必先进行此操作.

要删除此恶意软件/灰色软件创建的注册表项：

1. 打开注册表编辑器。 为此，请执行以下操作:
   » 对于 Windows 7 和 Server 2008 (R2) 用户，请点击 Start button, type regedit in the Search输入字段，然后按下Enter.
   » 对于 Windows 8、8.1、10 及 Server 2012 (R2) 用户，请右键单击屏幕左下角，点击 Run, type regedit 在提供的文本框中，然后点击 Enter.
2. 在注册表编辑器窗口的左侧面板中，双击以下项目：
   HKEY_CURRENT_USER>Software
3. 仍在左侧面板中，找到并删除以下注册表项：
   juynvfpoils-YFZCIY
4. Again 仍在左侧面板中，找到并删除以下注册表项：
   Komprimeringerne
5. 关闭注册表编辑器。

Step 6

搜索并删除这些文件

• %Application Data%\Microsoft\Windows\Recent\CustomDestinations\{Random}.temp
  
• %Application Data%\Microsoft\Windows\Recent\CustomDestinations\{Random}.customDestinations-ms~{Random}.TMP
  
• %Application Data%\Kollegiebyggerier.Pau
  
• %Internet Files%\Content.IE5\{Random}\json[1].gp
  
• %Application Data%\lamourtesy.dat
  

要删除恶意软件/灰色软件文件：

适用于 Windows 7、Server 2008 (R2)、8、8.1、10 及 Server 2012 (R2) 系统：

1. 打开 Windows 资源管理器窗口。
   • 对于 Windows 7 和 Server 2008 (R2) 用户：点击Start>Computer.
   • 对于Windows 8、8.1、10及Server 2012用户, 右键单击屏幕左下角，然后点击 File Explorer.
2. 在搜索计算机/此电脑输入框中，键入：
   
   • %Application Data%\Microsoft\Windows\Recent\CustomDestinations\{Random}.temp
     
   • %Application Data%\Microsoft\Windows\Recent\CustomDestinations\{Random}.customDestinations-ms~{Random}.TMP
     
   • %Application Data%\Kollegiebyggerier.Pau
     
   • %Internet Files%\Content.IE5\{Random}\json[1].gp
     
   • %Application Data%\lamourtesy.dat
     
3. 定位到该文件后，选中并按 SHIFT+DELETE 将其删除。
4. 对所有列出的文件重复上述步骤。
   *Note:阅读以下微软官方页面 若上述步骤在 Windows 7 和 Server 2008 (R2) 系统上无效：

Step 7

以正常模式重启计算机，并使用亚信安全产品扫描检测病毒Trojan.BAT.POWLOAD.M. 如果检测到的文件已被亚信安全产品清理、删除或隔离，则无需执行其他操作。您可以选择直接删除隔离文件。请勾选此项知识库页面 了解更多信息。