【推荐】关于"wincup.exe"的分析...
O23 - NT 服务: WinWrCup - MsWinCup - C:\WINDOWS\wincup\wincup.exe
这几天经常看到这项..前几天拿到样本一直没去试...今天有空咯就试试...
样本放在其他盘..运行后..C:\WINDOWS\wincup生成文件...创建服务..wincup.exe访问网络...C:\WINDOWS\wincup里面是.ini文件和一个wincup.exe.
.ini里有个连接 http://update2.borlander.cn/cup/wincup.cab 转到这网站后下载一个wincup.cab ..里面是一个 wincup.exe ..
【解决】
开始-控制面板-性能和维护-管理工具-服务
禁用掉WinWrCup - MsWinCup
开始-运行-regedit
注册表
展开
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Currentversion\Uninstall\
删除WinWrCup 文件夹..
展开
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\
删除 LEGACY_WINWRCUP 文件夹..
删除
C:\WINDOWS\wincup
------------------------------------------------------------------------
删除注册表时要借助Icesword ...
http://forum.ikaka.com/topic.asp?board=28&artid=6979213二楼下载..正常模式与安全模式都可删除..但要借助Icesword来删除注册表的项...
