记录KillSwitch引发的一次蓝屏事件

paink

当使用 KillSwitch 工具强制删除某个文件时，可能在系统重启时引发蓝屏事故。
尤其在系统正常运行状态下，未能成功删除文件时，KillSwitch 会要求系统重启。此时，KillSwitch会在 C:\Windows\System32\drivers 下写入一个随机文件名的驱动文件（我这里是aoxmkg.sys），其原始文件名ccekrnl.sys，然后问题就来了。
该文件的签名证书已被吊销或者失效，在系统启动时就会引起无法验证数字签名的问题，最终导致无法加载操作系统，引起蓝屏事故。

紧急解决办法：
进入PE环境，移动该驱动文件到其他不重要的位置，一般就能正常进入系统了。
进入系统后，删除注册表项 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\aoxmkg 即可。

其他潜在问题：
该删除机制依赖于CCE，预计使用CCE进行病毒、文件删除时，可能面临相同问题。

bbb1111

新版目前使用情况如何？

paink

bbb1111 发表于 2026-9-7 15:22
新版目前使用情况如何？

还行。