C:\Windows\PilotDefine.exe，Backdoor/Lotok.ei 后门病毒，火绒疑似无法斩草除根

3306-1

来源：https://www.52pojie.cn/thread-2114767-1-1.html
报告：戏子如梦
抄送：@火绒工程师
感受：换了360在安全模式下删除了，360杀了， 火绒再扫没发现，之前火绒只能发现一直杀不完（报告者提供）
补充：11:52 根据 360 日志，正在询问相关链条，链条不完整
　　　12:02 确认链条丢失，360 清理时未进隔离区，已无法提取完整链条

文件指纹
名称: PilotDefine.zip
大小: 666344 字节 : 650 KiB
CRC64: 57AFC659FA35B4E8
XXH64: 58B45A6C4644CBC0
SHA256: ea18d8cde4146a1b83b8598d0a1764ba31bd457a33715f92a93a3394b123b515

名称: PilotDefine.exe
大小: 1138688 字节 : 1112 KiB
CRC64: 286F7A6E8E0072CC
XXH64: EDCB68E003ED9B35
SHA256: 4a17bd42277ad943a6f22920f29a61a246c674a7635573d1448c14a0cacfdb2b

报告者提供报毒信息

风险描述：后门病毒（秘密开放用于远程操控的端口和权限，或主动连接黑客的控制端，将被感染主机变为可以被黑客控制的“肉鸡”。）

mem://3056-0xf91ad85c-0x22f46420000-C:\Windows\PilotDefine.exe
Backdoor/Lotok.ei

mem://3056-0xf91ad85c-0x22f46610000-C:\Windows\PilotDefine.exe
Backdoor/Lotok.ei

mem://3056-0xf91ad85c-0x22f47ed0000-C:\Windows\PilotDefine.exe
Backdoor/Lotok.kw

mem://18408-0xcdd34332-0x1cd4df70000-C:\Windows\PilotDefine.exe
Backdoor/Lotok.ei（DFC147455ACD4B43）

1. 病毒库日期：2026-05-18
   
2. 扫描时间：2026-06-29 00:01:50
   
3. 扫描用时：00:02:41
   
4. 扫描类型：快速扫描
   
5. 扫描文件总数：19857
   
6. 项目总数：9
   
7. 清除项目数：9
   
8. 
   
9. 扫描选项
   
10. ----------------------
    
11. 扫描所有文件：否
    
12. 扫描压缩包：否
    
13. 发现病毒处理方式：由用户选择处理
    
14. 扫描磁盘引导区：是
    
15. 扫描 Rootkit：否
    
16. 使用云查杀引擎：是
    
17. 使用QVM人工智能引擎：是
    
18. 扫描建议修复项：是
    
19. 常规引擎设置：未使用
    
20. 
    
21. 扫描内容
    
22. ----------------------
    
23. C:\WINDOWS
    
24. C:\WINDOWS\system
    
25. C:\WINDOWS\system32
    
26. C:\WINDOWS\system32\drivers
    
27. C:\WINDOWS\system32\dllcache
    
28. C:\WINDOWS\temp
    
29. C:\WINDOWS\tasks
    
30. C:\WINDOWS\inf
    
31. C:\Program Files\
    
32. C:\Program Files\Common Files
    
33. C:\Program Files\Common Files\System
    
34. C:\Program Files\Common Files\Microsoft Shared\DAO
    
35. C:\Program Files (x86)\
    
36. C:\Program Files (x86)\Common Files
    
37. C:\Program Files (x86)\Common Files\System
    
38. C:\Program Files (x86)\Common Files\Microsoft Shared\DAO
    
39. C:\WINDOWS\SysWOW64
    
40. C:\WINDOWS\SysWOW64\drivers
    
41. 
    
42. 
    
43. 白名单设置
    
44. ----------------------
    
45. 
    
46. 
    
47. 扫描结果
    
48. ======================
    
49. 高危风险项
    
50. ----------------------
    
51. C:\Program Files (x86)\TrackerFind\PilotDefine.exe        Win64/Trojan.Generic.HgEAUFAA        重启后删除
    
52. "C:\Program Files (x86)\Huorong\Sysdiag\CrossUpgrade.exe" -a        无效的注册表启动项        已删除
    
53. C:\Windows\PointChase.exe        Win64/Trojan.Generic.H8oAxP0A        已删除
    
54. C:\Windows\PilotDefine.exe        Win64/Trojan.Generic.HgEAUFAA        已删除
    
55. C:\Program Files (x86)\SoftDenchi\UCManSvc.exe        建议禁止开机自动运行的程序        已删除
    
56. x:\程序中心\迅雷\Thunder\BHO\XunleiBHO649.5.62.2075.dll        无效的注册表启动项        已删除
    
57. x:\书\Tracker Software\PDF Viewer\PDFXCview.exe        建议禁止开机自动运行的程序        已删除
    
58. x:\工作软件\PDF-XChange Editor\PDFXEdit.exe        建议禁止开机自动运行的程序        已删除
    
59. C:\WINDOWS\SeekPursue.exe        Win64/Trojan.Generic.HgEAUFAA        已删除

复制代码

火绒扫描（我自己的本地扫描结果）
6.0.10.2 版本
06-28 17:54 病毒库

2026/06/29 09:01:14
病毒防护
文件实时监控
发现病毒Backdoor/Lotok,ei,已处理

病毒名称：Backdoor/Lotok.ei
病毒ID：DFC147455ACD4B43
病毒路径：PilotDefine.exe
操作类型：修改
操作结果：已处理，删除文件

包含内容：https://github.com/es3n1n/no-defender
相关信息：C:\Windows\DefectChase.exe
　　　　　C:\Program Files (x86)\TrackerFind\InvestigateHunt.exe
　　　　　C:\Program Files (x86)\SeekGeneralize\DefectChase.exe
　　　　　C:\Program Files (x86)\AllyChase\CustomizationObserve.exe
杀毒查找：360Tray.exe
　　　　　360Safe.exe
　　　　　360speedld.exe

文件格式：DLLx64
文件类型：PE64 Executable for MS Windows (DLL)
编译时间戳：2026-04-14 13:32:40
注册DLL文件：C:\windows\system32\regsvr32.exe %localappdata%\Temp\PilotDefine.exe.dll

运行时，会释放文件在 %localappdata%\Temp\PilotDefine.exe.dll 并报错， 远控确实发生了，但微步
和奇安信均未能成功记录远程地址，奇安信在分析时系统预览小窗，目视攻击者在晃动鼠标关闭报错弹窗

jotti（压缩包和核心程序，下同）
https://virusscan.jotti.org/zh-CN/filescanjob/u9492ydszd
https://virusscan.jotti.org/zh-CN/filescanjob/q96v7k25fl

奇安信
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AZ8Q6oqtVo2htHHsgeOB
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AZ8RAMEoONZSmF3-tyU7

virscan
https://www.virscan.org/report/ea18d8cde4146a1b83b8598d0a1764ba31bd457a33715f92a93a3394b123b515
https://www.virscan.org/report/4a17bd42277ad943a6f22920f29a61a246c674a7635573d1448c14a0cacfdb2b

微步
https://s.threatbook.com/report/file/ea18d8cde4146a1b83b8598d0a1764ba31bd457a33715f92a93a3394b123b515
https://s.threatbook.com/report/file/4a17bd42277ad943a6f22920f29a61a246c674a7635573d1448c14a0cacfdb2b

卡巴（两个均自动报告为安全）
https://opentip.kaspersky.com/4a17bd42277ad943a6f22920f29a61a246c674a7635573d1448c14a0cacfdb2b/results?tab=upload
https://opentip.kaspersky.com/4A17BD42277AD943A6F22920F29A61A246C674A7635573D1448C14A0CACFDB2B/results?tab=upload

样本（原帖作者提供）
提取码：无，解压码：无
https://wwbpl.lanzouu.com/ipeIr3th04ba

wowocock

病毒名称：Backdoor/Lotok.ei
病毒ID：DFC147455ACD4B43
病毒路径：C:\Users\yhg\AppData\Local\Temp\Rar$EXa3760.11006.rartemp\PilotDefine.exe
操作类型：修改
操作结果：已处理，删除文件

进程ID：3760
操作进程：C:\Program Files\WinRAR\WinRAR.exe
操作进程命令行："C:\Program Files\WinRAR\WinRAR.exe" -iext "C:\Users\yhg\Desktop\SynapticsKiller\PilotDefine.zip"
父进程ID：3916
父进程：C:\Windows\explorer.exe

tony099

已经帮你上报联系卡巴斯基了

ahhh

eis   腾讯管家  miss

fsecure01

安天扫描 miss
但是安天的澜砥大模型分析报毒 可惜免费的安天智甲没有澜砥大模型的授权

Myrenaser

WD解压
ELG报告未发现威胁：PilotDefine.exe - ESET LiveGuard - 高级行为报告

GDHJDSYDH

红伞kill

fdsax

ZoneAlarm

3306-1

tony099 发表于 2026-6-29 10:11
已经帮你上报联系卡巴斯基了

现在已经将结果从安全变更为病毒，感谢反馈

心醉咖啡

360