针对类似银狐让360卫士和急救箱无法启动的处理

落华无痕

King、暮光 发表于 2024-11-22 16:46
对，就叫这个。我不知道是不是我U盘的问题，做的PE也进不去。最后只好重置系统

tProtect.dll和curl.dll吧。这个病毒很容易处理，不用PE和ARK工具，直接命令就能干掉。

1. cd /d "C:\Program Files (x86)\Windows NT"
   
2. attrib -s -h -r *.*
   
3. del /a /f /q *.bak
   
4. ren *.exe *.bak
   
5. ren *.dll *.bak
   
6. ren *.png *.bak
   
7. wmic process where "(ExecutablePath like '%%\\Windows NT\\%%')" call Terminate
   
8. md runtime.exe
   
9. md winnt.exe

复制代码

上面命令可能需要重复几次，之后重启电脑删除隐藏的计划任务注册表。

wwwab

落华无痕 发表于 2024-11-23 12:23
tProtect.dll和curl.dll吧。这个病毒很容易处理，不用PE和ARK工具，直接命令就能干掉。上面命令可能需要 ...

试试一步到位：

1. cd /d "C:\Program Files (x86)\Windows NT"
   
2. attrib -s -h -r *.*
   
3. for %%a in (1,2,3,4,5,6,7,8,9,10) do (
   
4.     wmic process where "(ExecutablePath like '%%\\Windows NT\\%%')" delete
   
5.     taskkill /f /im regsvr32.exe
   
6.     del /a /f /q *.exe & del /a /f /q *.dll & del /a /f /q *.png
   
7.     wmic process where "(ExecutablePath like '%%\\Windows NT\\%%')" delete
   
8.     ren *.exe *.vir & ren *.dll *.vir & ren *.png *.vir
   
9.     del /a /f /q *.vir
   
10.     wmic process where "(ExecutablePath like '%%\\Windows NT\\%%')" delete
    
11. )
    
12. pause

复制代码

King、暮光

Wama 发表于 2024-11-23 10:20
是用的EIS吗？

BTS

岩浆膏cream

落华无痕 发表于 2024-11-23 12:23
tProtect.dll和curl.dll吧。这个病毒很容易处理，不用PE和ARK工具，直接命令就能干掉。上面命令可能需要 ...

现在发现有这样一种情况，就是默认开启了内核隔离，急救工具（如360系统急救箱）需要关闭内核隔离才能正常使用，
而中银狐后Windows安全中心无法打开，不能进入界面来关闭内核隔离。请问这种情况下怎样操作才能关闭内核隔离呢？@wowocock

wowocock

直接关不了，不过那个依赖于VBS，可以关闭虚拟化支持看看。
https://blog.jsfr.work/Windows%E7%B3%BB%E7%BB%9F/Windows-%E5%85%B3%E9%97%AD%E5%86%85%E6%A0%B8%E9%9A%94%E7%A6%BB(%E8%A7%A3%E5%86%B3VMware%E5%90%AF%E5%8A%A8%E4%B8%8D%E4%BA%86).html

dtman

干这个，纯手搓就行，不需要杀毒软件

wowocock

dtman 发表于 2024-12-4 11:06
干这个，纯手搓就行，不需要杀毒软件

我这是通用于所有360卫士起不来的情况，以银狐举例而已。