帮亲戚修电脑有感

syswow64

给我妹买的ThinkPad P53工作站上学做视频用，我装好系统就用的win11自带的MD做杀毒软件，没装别的，2年过去了说电脑卡的要命，我一看桌面一堆垃圾软件，首页也被锁了，一点搜索就弹广告。看了下MD，报了两个病毒驱动，但是清理不掉，就一直在那报。。。

先装了个360全盘杀一遍，干掉了四五个病毒驱动，但是弹广告得情况依然存在。360清理病毒完成重启后explorer循环崩溃，原因不明，直到下面卡巴把所有病毒清理干净才恢复正常。


然后下了卡巴，全盘一杀杀了300+文件，内存中也发现病毒了。看了看扫描记录，大部分是“合法的流氓软件”，还有少量隐藏的广告程序和病毒，这把杀完系统终于流畅了，弹广告也没有了。

观赏用日志：

回溯中毒途径，基本都是网上下载软件，那个按钮最大就点了哪个，还有就是别的同学拷贝给他的加料安装包

大致结论：
1：MD对于国产流氓/锁首驱动基本没有还手的能力，就算扫出来也清理不掉，何况大部分根本扫不出来。
2：360依然是灰产广告之友，基本只杀了恶意程度比较高的毒，其他的都放过了。
3：卡巴的病毒库广度、带毒清理能力和本地化水平还是一流的。

更新火绒，还没完呢。。。

【1】2023-08-13 20:57:18,病毒防护,病毒查杀,快速扫描, 发现10个风险项目

病毒库时间：2023-08-13 16:19
开始时间：2023-08-13 20:52
总计用时：00:03:24
扫描对象：24609
扫描文件：14081
发现风险：10
已处理风险：7
病毒详情：
风险路径：c:\users\crx\appdata\roaming\clearmanagepath\jade.dll, 病毒名：Adware/SmallTreePDF.c, 病毒ID：9cde1c6e4682e193, 处理结果：处理失败
风险路径：c:\users\crx\appdata\roaming\blockmasterpath\xshtd.dll, 病毒名：Adware/SmallTreePDF.c, 病毒ID：9cde1c6e4682e193, 处理结果：处理失败
风险路径：C:\Windows\system32\Fannie64.dll, 病毒名：Adware/SmallTreePDF.c, 病毒ID：9cde1c6e4682e193, 处理结果：已处理，删除文件
风险路径：C:\Windows\system32\Enoch64.dll, 病毒名：Adware/MicroCool.a, 病毒ID：7b913e64ee19f103, 处理结果：处理失败
风险路径：C:\Windows\system32\XsRls64.dll, 病毒名：Adware/SmallTreePDF.c, 病毒ID：9cde1c6e4682e193, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Local\mp3jq\MkprServer.exe, 病毒名：Adware/Adserv.b, 病毒ID：6a2099fed9ed3af5, 处理结果：已处理，删除文件
风险路径：C:\WINDOWS\system32\Enoch.dll, 病毒名：Adware/MicroCool.a, 病毒ID：7b913e64ee19f103, 处理结果：已处理，删除文件
风险路径：C:\WINDOWS\system32\Fannie.dll, 病毒名：Adware/SmallTreePDF.c, 病毒ID：9cde1c6e4682e193, 处理结果：已处理，删除文件
风险路径：C:\WINDOWS\system32\XsRls.dll, 病毒名：Adware/SmallTreePDF.c, 病毒ID：9cde1c6e4682e193, 处理结果：已处理，删除文件
风险路径：C:\WINDOWS\system32\Drivers\xzisomont64.sys, 病毒名：Rootkit/Agent.dl, 病毒ID：b80ea66e9f8bb628, 处理结果：已处理，删除文件
火绒全盘扫，这卡巴360漏的有点多啊

【1】2023-08-13 22:48:39,病毒防护,病毒查杀,全盘扫描, 发现24个风险项目

病毒库时间：2023-08-13 16:19
开始时间：2023-08-13 22:07
总计用时：00:33:44
扫描对象：877876
扫描文件：776399
发现风险：24
已处理风险：24
病毒详情：
风险路径：C:\Users\crx\AppData\Local\CAScreenshot\skantutg42102.exe >> 365Kantu.exe, 病毒名：Adware/Kantu365.a, 病毒ID：43d304993082beb5, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Local\CAScreenshot\skantutg42102.exe >> 365kantuserv.exe, 病毒名：Adware/Kantu365.a, 病毒ID：43d304993082beb5, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Local\ClearManage\Millicent.exe, 病毒名：Adware/QiaoYa.f, 病毒ID：b738c8a7132e411, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Local\ClearManage\update.exe, 病毒名：Adware/QiaoYa.f, 病毒ID：b738c8a7132e411, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Local\jiankangzhushou\jkzs.exe, 病毒名：Adware/MiniNews.c, 病毒ID：55670182d9dd9b42, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Local\Programs\StellarPlayer\Miniblink.exe, 病毒名：Adware/Stellar.a, 病毒ID：463ae3e72df82d20, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Local\Programs\StellarPlayer\snapshot.bin, 病毒名：Adware/Stellar.a, 病毒ID：463ae3e72df82d20, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Local\wminfo\365Kantu.exe, 病毒名：Adware/Kantu365.a, 病毒ID：43d304993082beb5, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Local\wsinfo\update.exe, 病毒名：Adware/Kantu365.a, 病毒ID：43d304993082beb5, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Local\zhengdbb\zdbb.exe, 病毒名：Adware/MiniNews.c, 病毒ID：55670182d9dd9b42, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Local\zhuomianrili\TpsvServer.exe, 病毒名：Adware/MiniNews.b, 病毒ID：57f14f2025c40d0d, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Local\WindZip\skantutg42102.exe >> 365Kantu.exe, 病毒名：Adware/Kantu365.a, 病毒ID：43d304993082beb5, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Local\WindZip\skantutg42102.exe >> 365kantuserv.exe, 病毒名：Adware/Kantu365.a, 病毒ID：43d304993082beb5, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Roaming\anyWindow\anyWindow.exe, 病毒名：Adware/Stellar.a, 病毒ID：463ae3e72df82d20, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Roaming\BlissCalendar\BlissCalendar_c.dll, 病毒名：Adware/UpdSrv.a, 病毒ID：8fa75f32fe3bf045, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Roaming\ClearManagepAth\Millicent.exe, 病毒名：Adware/SmallTreePDF.c, 病毒ID：9cde1c6e4682e193, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Roaming\crx\SDRunEx.dll, 病毒名：Trojan/Agent.azf, 病毒ID：4b86494b377f92d5, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Roaming\DAYdayImage\ppnews.exe, 病毒名：Adware/Poptui.j, 病毒ID：1fca3c8523709bbd, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Roaming\iNotePad\pkg\bsView.exe, 病毒名：Adware/BsClick.c, 病毒ID：d227762e2bdf792b, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Roaming\LuckyCalendar\LuckyCalendar_c.dll, 病毒名：Adware/UpdSrv.a, 病毒ID：8fa75f32fe3bf045, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Roaming\minblink\Miniblink.exe, 病毒名：Adware/Stellar.a, 病毒ID：463ae3e72df82d20, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Roaming\myScreenSaver\ScreenSaver.scr, 病毒名：Adware/Stellar.b, 病毒ID：71f073df422fe926, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Roaming\StellarPlayer\update\snapshot.bin, 病毒名：Adware/Stellar.a, 病毒ID：463ae3e72df82d20, 处理结果：已处理，删除文件
风险路径：C:\Users\crx\AppData\Roaming\ToImage\ppnews.exe, 病毒名：Adware/Poptui.j, 病毒ID：1fca3c8523709bbd, 处理结果：已处理，删除文件


有个毒驱动居然在360杀完之后复活了，被火绒又杀了一遍，杀完急救箱扫了一遍终于没了，360卫士实属拉胯

风林12刀

我很久以前也遇到这种情况，捆绑很多流氓软件，当时用的是360最新的8.7版本，一点反应没有，当时我就备份好资料重装了

syswow64

风林12刀 发表于 2023-8-13 16:38
我很久以前也遇到这种情况，捆绑很多流氓软件，当时用的是360最新的8.7版本，一点反应没有，当时我就备份好 ...

不过也可以理解，这些病毒广告都是受法律和政策支持的，谁敢乱搞就要律师函了

风林12刀

syswow64 发表于 2023-8-13 16:47
不过也可以理解，这些病毒广告都是受法律和政策支持的，谁敢乱搞就要律师函了

这就说明了国内软件环境需要整改了，捆绑得经得用户同意，有个是否选项，并且得明显

真小读者

所以说到底还是从可信渠道下载安装软件，比如官网、知名的第三方修改作者等等。安装的时候看清楚再点，别无脑下一步。
遇到杀软报毒判断不了的，可以发到论坛、在线多引擎、云沙箱或者懂的人等看看。不要随意相信那些报毒就关杀软的说明。

东风汽车

建议最后再用softcnkiller扫尾
autoruns或火绒剑确认。

日志里太多流氓软件的守护驱动了！系统里肯定有非常多乱七八糟的filter hook callback

syswow64

东风汽车 发表于 2023-8-13 17:25
建议最后再用softcnkiller扫尾
autoruns或火绒剑确认。

扫什么尾，这系统已经没法要了，我只是拿个扫描结果去警告她不要随意关杀软和装垃圾软件

东风汽车

syswow64 发表于 2023-8-13 17:31
扫什么尾，这系统已经没法要了，我只是拿个扫描结果去警告她不要随意关杀软和装垃圾软件

格了吧
连分区表都不能要了赃
圣女＆哥布林

syswow64

东风汽车 发表于 2023-8-13 17:33
格了吧
连分区表都不能要了赃
圣女＆哥布林

系统已经被卡巴和360杀烂了，暗病不少，另外win11在八代九代U上是真卡，还是win10吧，受不了

qq1094250746

我看里面广告总是少不了2345 话说这样杀毒比重新装个系统还麻烦