专家实战录：遭遇狡猾病毒不断改名逃避查杀
朋友的电脑出了问题，Mcafee总是提示有病毒清除不了，公司不方便远程操作，只好找到铁军帮忙。可惜最后两个文件远程操作无法删除，手头还没有WinPE盘。看来为了应对越来越狡猾的病毒，准备一个WinPE已经势在必行。】
下午李磊给我一个LOG，看了看发现几个可疑文件
c:\windows\system32\mssrv32.exe C:\WINDOWS\system32\tmp.exe C:\WINDOWS\system32\com\laaegiyboccw.dll c:\windows\system32\usmt\wvrqtmsth.dll C:\WINDOWS\system32\winini.exe c:\windows\system32\Drivers\Tjm15.sys C:\WINDOWS\system32\gtwkvegqpm.dll C:\WINDOWS\system32\wsxafnkqsdevx.dll C:\WINDOWS\system32\oegqglvyni.dll |
先写个批处理尝试拷贝样本，从传过来的文件看，少了tjm15.sys。
远程连接过去，装上清理专家，发现6个恶意软件。
清除这几个之后重启，发现有两个东东死赖着不走。
c:\windows\system32\wlctrl32.dll c:\windows\system32\drivers\khk41.sys |
尝试用文件粉碎器删除，重启又来了，粉碎后立即拔电源也没搞定。
看来只有一条路，WinPE引导后删除，这已经没办法远程操作。
这个sys文件每次重启会改名。
版权声明:本文由驱动中国整理发布,转载需注明出处与原文链接。如有疑问请联系
editor@qudong.com。
本文价值
★★★★★
—
成为第一个评分的人
登录后为本文打分
评论加载中…