样本1x，VT首传，主流无检出。

LingGao

Microsoft Defender MISS

已提交分析，正在等待微软研究员结果。

猥琐大叔

Error50X 发表于 2026-2-9 13:26
搜一下 libexpat.dll？

有什么问题吗

wowocock

猥琐大叔 发表于 2026-2-9 13:35
专杀可以清除吗

没啥特色的，用火绒常规查杀即可。

wowocock

猥琐大叔 发表于 2026-2-9 13:35
专杀可以清除吗

C:\ProgramData\CfServerSoftwareDistribution\WindowsEvent.exe，没查出来，就手动删除这个。

wowocock

Error50X 发表于 2026-2-9 13:26
搜一下 libexpat.dll？

这个只是临时的文件，中毒后就只能看到计划任务了。
<?xml version="1.0" encoding="UTF-16"?>
<Task version="1.2" xmlns="http://schemas.microsoft.com/windows/2004/02/mit/task">
  <RegistrationInfo>
    <URI>\MicrosoftCfServerUpdateTaskMachineCore</URI>
  </RegistrationInfo>
  <Triggers>
    <LogonTrigger>
      <Enabled>true</Enabled>
    </LogonTrigger>
  </Triggers>
  <Principals>
    <Principal id="Author">
      <RunLevel>HighestAvailable</RunLevel>
      <UserId>DESKTOP-HKL8C6K\yhg</UserId>
      <LogonType>InteractiveToken</LogonType>
    </Principal>
  </Principals>
  <Settings>
    <MultipleInstancesPolicy>IgnoreNew</MultipleInstancesPolicy>
    <DisallowStartIfOnBatteries>false</DisallowStartIfOnBatteries>
    <StopIfGoingOnBatteries>true</StopIfGoingOnBatteries>
    <AllowHardTerminate>true</AllowHardTerminate>
    <StartWhenAvailable>false</StartWhenAvailable>
    <RunOnlyIfNetworkAvailable>false</RunOnlyIfNetworkAvailable>
    <IdleSettings>
      <Duration>PT10M</Duration>
      <WaitTimeout>PT1H</WaitTimeout>
      <StopOnIdleEnd>true</StopOnIdleEnd>
      <RestartOnIdle>false</RestartOnIdle>
    </IdleSettings>
    <AllowStartOnDemand>true</AllowStartOnDemand>
    <Enabled>true</Enabled>
    <Hidden>false</Hidden>
    <RunOnlyIfIdle>false</RunOnlyIfIdle>
    <WakeToRun>false</WakeToRun>
    <ExecutionTimeLimit>PT0S</ExecutionTimeLimit>
    <Priority>7</Priority>
  </Settings>
  <Actions Context="Author">
    <Exec>
      <Command>C:\ProgramData\CfServerSoftwareDistribution\WindowsEvent.exe</Command>
    </Exec>
  </Actions>
</Task>

tony099

事件: 检测到恶意对象
组件: 入侵防御
结果描述: 检测到
类型: 木马
名称: UDS:Backdoor.Win32.Zegost
威胁级别: 高
对象路径: C:\Users\35987\Downloads
对象名称: Chrone.exe
原因: 云保护
MD5: 76B3F20B60114125BB1F7F889098CC0B

PhozeAMTB

WD 复测 双击

scottxzt

先双击阻止，再扫描

成顔

解压删

Max08190502

eset miss