专家实战录：遭遇狡猾病毒不断改名逃避查杀

专家实战录：遭遇狡猾病毒不断改名逃避查杀
|4O!`y \:E0{Vza1【赛迪网-IT技术报道】【编者按：首先非常感谢铁军同志！朋友的电脑出了问题，Mcafee总是提示有病毒清除不了，公司不方便远程操作，只好找到铁军帮忙。可惜最后两个文件远程操作无法删除，手头还没有WinPE盘。看来为了应对越来越狡猾的病毒，准备一个WinPE已经势在必行。】
+bUs9Dbj#f;j5fCY1下午李磊给我一个LOG，看了看发现几个可疑文件中国|西安数据恢复vX^"a%W0_3I6c
c:\windows\system32\mssrv32.exe
4`$X-Dt+c1C:\WINDOWS\system32\tmp.exe
u|0a/}&HU]&OEd1C:\WINDOWS\system32\com\laaegiyboccw.dll中国|西安数据恢复!b{F C!ZT-z!W}
c:\windows\system32\usmt\wvrqtmsth.dll中国|西安数据恢复^
mq1~@/t
C:\WINDOWS\system32\winini.exe中国|西安数据恢复{Q
z&Hi(B;^'Xn
c:\windows\system32\Drivers\Tjm15.sys中国|西安数据恢复h+}"@(xx7D#ad5g/K
C:\WINDOWS\system32\gtwkvegqpm.dll
/S z0p-O3\MW1C:\WINDOWS\system32\wsxafnkqsdevx.dll
+uT a&tn6k$l3}1C:\WINDOWS\system32\oegqglvyni.dll中国|西安数据恢复[,y:X_6`:L!Y
先写个批处理尝试拷贝样本，从传过来的文件看，少了tjm15.sys。中国|西安数据恢复 { s5SknLuP{
远程连接过去，装上清理专家，发现6个恶意软件。
$`M;k3zL"Cc^ IC1清除这几个之后重启，发现有两个东东死赖着不走。
a:fVe{E j7?"@V4f1c:\windows\system32\wlctrl32.dll
O2`:MDso\d2ng@1c:\windows\system32\drivers\khk41.sys中国|西安数据恢复]2x;LT'sp)TCs~0A8k4h
尝试用文件粉碎器删除，重启又来了，粉碎后立即拔电源也没搞定。
l!J Rmf,[#pZRV1看来只有一条路，WinPE引导后删除，这已经没办法远程操作。中国|西安数据恢复.Y2B)q1@1CpF Z
这个sys文件每次重启会改名。

中国|西安数据恢复m/cr0M~/i1TB Vs$F