Trojan.W97M.FRS.VSNW1FC25

Step 1

在进行任何扫描之前，Windows 7、Windows 8、Windows 8.1 和 Windows 10 用户必须先执行以下操作： 禁用 系统还原 以便对电脑进行全面扫描。

Step 2

注意：在此恶意软件/间谍软件/灰色软件执行期间，并非所有文件、文件夹和注册表键值和项都会安装到您的计算机上。这可能是由于不完整的安装或其他操作系统条件所致。如果您没有找到相同的文件/文件夹/注册表信息，请继续进行下一步操作。

Step 3

以安全模式重启

要进入安全模式重启：

• For Windows 7 and Windows Server 2008 (R2) users

1. 重启你的电脑。
2. 按下F8 在开机自检（POST）程序完成后。如果 高级启动选项 若未出现菜单，请尝试重启计算机，并在POST界面显示后多次按F8键。
3. 在高级启动选项菜单中，使用方向键选择Safe Mode 选项，然后按 Enter.

• For Windows 8, Windows 8.1, and Windows Server 2012 users

1. 访问Charms bar 将鼠标指针移至屏幕右上角即可。
2. 将鼠标指针向下移动并点击 Settings>更改您的电脑设置.
3. 在左侧面板中，点击“通用”。
4. 在右侧面板中，向下滚动至底部找到 Advanced startup 部分，然后点击 Restart now 按钮并等待系统重启。
5. 在Advanced Startup 菜单中，点击 Troubleshoot>Advanced Options>Startup Settings>Restart 并等待系统重启。
6. 在Startup Settings 菜单中，按下 4 以启用安全模式。

• 对于 Windows 10 用户：

1. 按下Windows logo key + I 键打开“设置”。若无效，请选择 Start按钮，然后选择Settings.
2. 选择Update & Security > Recovery.
3. 在Advanced startup, select Restart now.
4. 当您的电脑重启进入 请选择一个选项 屏幕上，选择Troubleshoot > Advcanced options > 启动设置 > Restart.
5. 电脑重启后，您将看到一系列选项。请选择4 或按 F4 以安全模式启动您的电脑。

Step 4

删除计划任务 while in Safe Mode

1. Still in safe mode, the following {Task Name}-{Task to be run} 列出的内容应在以下步骤中使用：
   • {Task Name} → sfMDuuAQgkRkmby
   • {Task to be run} → %Application Data%\sfMDuuAQgkRkmby.vbs
2. 对于 Windows 7 和 Server 2008 (R2) 用户：点击Start>Computer.
   • 对于Windows 8、8.1、10及Server 2012用户, 右键单击屏幕左下角，然后点击 File Explorer.
3. 在搜索计算机/此电脑输入框中，键入：
   • %System%\Tasks\{Task Name}
4. 定位到该文件后，选中并按 SHIFT+DELETE 将其删除。
5. 打开注册表编辑器。 为此，请执行以下操作:
   • 对于 Windows 7 和 Server 2008 (R2) 用户： 点击开始按钮，在搜索输入框中键入regedit，然后按Enter键。
   • 对于 Windows 8、8.1、10 及 Server 2012 (R2) 用户，请右键单击屏幕左下角，点击 Run, type regedit in the text box
6. 在注册表编辑器窗口的左侧面板中，双击以下项目：
   • HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Schedule>TaskCache>Tree>{Task Name}
7. Locate the created entry and take note of the registry value's data:
   • ID={Task Data}
8. After taking note of the data, delete the registry key:
   • HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Schedule>TaskCache>Tree>{Task Name}
9. 在注册表编辑器窗口的左侧面板中，双击以下项目：
   • HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Schedule>TaskCache>Tasks
10. 仍在左侧面板中，定位并删除与已定位任务数据同名的注册表项。 in step #6:
    • ={Task Data}
11. 关闭注册表编辑器。

Step 5

删除此注册表值

Important: 编辑 Windows Registry 操作不当可能导致系统出现无法恢复的故障。请务必仅在您熟悉相关步骤的情况下执行；如有疑问，可寻求系统管理员的协助。否则，请查看下方链接。 Microsoft article 修改计算机注册表前请务必先进行此操作.

• In HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby
  • Path = sfMDuuAQgkRkmby
    
• In HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby
  • in = 1
    
• In HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby
  • i = RegAsm.exe
    
• In HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby
  • cn = Stop-Process -Name conhost -Force
    
• In HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby
  • v = {[}AppDomain{]}::CurrentDomain.Load{(}[Convert{]}::FromBase64String{(}{(}-join {(}Get-ItemProperty -LiteralPath 'HKEY_CURRENT_USER:\Software\sfMDuuAQgkRkmby' -Name 's'{)}.s | ForEach-Object {{}$_{[}-1..-{(}$_.Length{)}{]}{}}{)}{)}{)}; {[}b.b{]}::b{(}'sfMDuuAQgkRkmby'{)}
    
• In HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby
  • r = {Reversed PE Binary String}
    
• In HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby
  • s = {Reversed Base64 String}
    
• In HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby
  • instant = powershell.exe -ExecutionPolicy Bypass -windowstyle hidden -noexit -Command [AppDomain]::CurrentDomain.Load([Convert]::FromBase64String((-join (Get-ItemProperty -LiteralPath 'HKEY_CURRENT_USER:\Software\sfMDuuAQgkRkmby' -Name 's').s | ForEach-Object {$_[-1..-($_.Length)]}))); [b.b]::b('sfMDuuAQgkRkmby')
    
• In HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby\donn
  • segment{1-29} = {Reversed PE Binary Substring}
    

要删除此恶意软件创建的注册表值：

1. 打开注册表编辑器。 为此，请执行以下操作:
   » 对于 Windows 7 和 Windows Server 2008 (R2) 用户，请点击 Start button, type regedit in the Search输入字段，然后按下Enter.
   » 对于 Windows 8、Windows 8.1、10 及 Windows Server 2012 (R2) 用户，请右键单击屏幕左下角，点击 Run, type regedit 在提供的文本框中，然后点击 Enter.
2. 在注册表编辑器窗口的左侧面板中，双击以下项目：
   HKEY_CURRENT_USER>Software>sfMDuuAQgkRkmby
3. 在右侧面板中，找到并删除以下条目：
   Path = sfMDuuAQgkRkmby
4. Again 在右侧面板中，找到并删除以下条目：
   in = 1
5. Again 在右侧面板中，找到并删除以下条目：
   i = RegAsm.exe
6. Again 在右侧面板中，找到并删除以下条目：
   cn = Stop-Process -Name conhost -Force
7. Again 在右侧面板中，找到并删除以下条目：
   v = {[}AppDomain{]}::CurrentDomain.Load{(}[Convert{]}::FromBase64String{(}{(}-join {(}Get-ItemProperty -LiteralPath 'HKEY_CURRENT_USER:>Software>sfMDuuAQgkRkmby' -Name 's'{)}.s | ForEach-Object {{}$_{[}-1..-{(}$_.Length{)}{]}{}}{)}{)}{)}; {[}b.b{]}::b{(}'sfMDuuAQgkRkmby'{)}
8. Again 在右侧面板中，找到并删除以下条目：
   s = {Reversed Base64 String}
9. Again 在右侧面板中，找到并删除以下条目：
   instant = powershell.exe -ExecutionPolicy Bypass -windowstyle hidden -noexit -Command [AppDomain]::CurrentDomain.Load([Convert]::FromBase64String((-join (Get-ItemProperty -LiteralPath 'HKEY_CURRENT_USER:>Software>sfMDuuAQgkRkmby' -Name 's').s | ForEach-Object {$_[-1..-($_.Length)]}))); [b.b]::b('sfMDuuAQgkRkmby')
10. 在注册表编辑器窗口的左侧面板中，双击以下项目：
    HKEY_CURRENT_USER>Software>sfMDuuAQgkRkmby>donn
11. 在右侧面板中，找到并删除以下条目：
    segment{1-29} = {Reversed PE Binary Substring}
12. 关闭注册表编辑器。

Step 6

删除此注册表项

Important: 编辑 Windows Registry 操作不当可能导致系统出现无法恢复的故障。请务必仅在您熟悉相关步骤的情况下执行；如有疑问，可寻求系统管理员的协助。否则，请查看下方链接。 Microsoft article 修改计算机注册表前请务必先进行此操作.

• In HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby
  • donn
    
• In HKEY_CURRENT_USER\Software
  • sfMDuuAQgkRkmby
    

要删除此恶意软件/灰色软件创建的注册表项：

1. 打开注册表编辑器。 为此，请执行以下操作:
   » 对于 Windows 7 和 Server 2008 (R2) 用户，请点击 Start button, type regedit in the Search输入字段，然后按下Enter.
   » 对于 Windows 8、8.1、10 及 Server 2012 (R2) 用户，请右键单击屏幕左下角，点击 Run, type regedit 在提供的文本框中，然后点击 Enter.
2. 在注册表编辑器窗口的左侧面板中，双击以下项目：
   HKEY_CURRENT_USER>Software>sfMDuuAQgkRkmby
3. 仍在左侧面板中，找到并删除以下注册表项：
   donn
4. 在注册表编辑器窗口的左侧面板中，双击以下项目：
   HKEY_CURRENT_USER>Software
5. 仍在左侧面板中，找到并删除以下注册表项：
   sfMDuuAQgkRkmby
6. 关闭注册表编辑器。

Step 7

搜索并删除这些文件

• %User Temp%\Client.vbe
• %Application Data%\sfMDuuAQgkRkmby.vbs

要删除恶意软件/灰色软件文件：

适用于 Windows 7、Server 2008 (R2)、8、8.1、10 及 Server 2012 (R2) 系统：

1. 打开 Windows 资源管理器窗口。
   • 对于 Windows 7 和 Server 2008 (R2) 用户：点击Start>Computer.
   • 对于Windows 8、8.1、10及Server 2012用户, 右键单击屏幕左下角，然后点击 File Explorer.
2. 在搜索计算机/此电脑输入框中，键入：
   
   • %User Temp%\Client.vbe
   • %Application Data%\sfMDuuAQgkRkmby.vbs
3. 定位到该文件后，选中并按 SHIFT+DELETE 将其删除。
4. 对所有列出的文件重复上述步骤。
   *Note:阅读以下微软官方页面 若上述步骤在 Windows 7 和 Server 2008 (R2) 系统上无效：

Step 8

以正常模式重启计算机，并使用亚信安全产品扫描检测病毒Trojan.W97M.FRS.VSNW1FC25. 如果检测到的文件已被亚信安全产品清理、删除或隔离，则无需执行其他操作。您可以选择直接删除隔离文件。请勾选此项知识库页面 了解更多信息。