恶意数签异常驱动 System32\wbem\tncfqqty.sys，Rootkit/W64.Agent.d，卡巴重启杀异常

3306-1

来源：https://www.52pojie.cn/thread-2125432-1-1.html
发现：w668／soiomn
备注：目前上下文和释放来源缺失，而该驱动极有可能
　　　只是病毒中间件，因此没法完全转储其运行情况

发现者描述

1. 1、不重启查杀后，系统正常，一旦关机在重启就卡在 logo 无法进入系统，安全模式、点命令模式、系统修复都无法完成。
   
2. 2、到卡巴备份区恢复文件的操作，提示无法恢复到目标文件夹，换其他盘还是这样提醒恢复不了。
   
3. 3、进 gho 提取出来文件，请大佬分析看看是不是病毒
   
4. 4、关键是提取出来的文件我要无法复制到 C:\Windows\System32\wbem\

复制代码

1. 我遇到了跟你类似的问题，同样的位置，同样的 SYS 后缀，不同的名字。重启后不能进入系统了。
   
2. 这个文件创建时间附近，系统会断网一次，同时提示需要重启以关闭用户UAC控制。
   
3. 卡巴提示需要重启后，我试着打开 390 系统急救箱，系统直接黑屏了。
   
4. 重启之后就没办法进系统了，还没尝试过对剩下的文件进行杀毒。有什么杀毒软件有PE版吗

复制代码

文件指纹
tncfqqty.sys
大小: 2334640 字节 : 2279 KiB
CRC32: 14142821
CRC64: B06E66544BF7C9E5
XXH64: A9618000F4723D8D
SHA256: 1900e8362353fc8709da7deb3ca8c1dc009754999c362a0ed8fea9333667bc0f
SHA3-256: 7c9e250eb3293a44455b5c0016bec373e64596a0a0dacabd35a1aaf803906698

火绒扫描（我自己的本地扫描结果）
6.0.11.3 版本
09-05 18:59 病毒库

2026/09/06 09:34:26
病毒防护
文件实时监控
发现病毒Rootkit/W64.Agent.d,已处理

病毒名称：Rootkit/W64.Agent.d
病毒ID：E60B00538626527D
病毒路径：tncfqqty.sys
操作类型：修改
操作结果：已处理，删除文件

卡巴病历

1. Hits        ≈ 1,000
   
2. 
   
3. Rootkit.Win64.Agent.gts
   
4. VHO:Rootkit.Win64.Convagent.gen

复制代码

文件属性

1. structure : x64 VMProtect v.3.6.0  - 3.8.7  2024 [ packed mode ] - www.vmpsoft.com [ Win 7 ] ,
   
2. Overlay :  Signed
   
3. 
   
4. 调试符号
   
5. 暂未发现或需脱壳
   
6. 
   
7. 编译时间
   
8. 2026-08-08 16:18:46
   
9. 
   
10. 类型
    
11. 系统文件
    
12. 
    
13. 版权
    
14. 语言
    
15. 文件说明
    
16. 文件版本
    
17. 产品名称
    
18. 均为空
    
19. 
    
20. 区段
    
21. .text
    
22. .rdata
    
23. .data
    
24. .pdata
    
25. INIT
    
26. .vOK
    
27. .HZ2
    
28. .^X(
    
29. 　EP = 1C330E
    
30. .reloc
    
31. 叠加层

复制代码

数签报错

1. 该证书已过期，或者尚未生效。
   
2. 根据当前系统时钟或签名文件中的时间戳验证时要求的证书不在有效期内。

复制代码

数签情况

1. Beijing Datang Shenzhou Technology Co., Ltd.
   
2. 签名时间丢失或遭篡改等
   
3. Thawte Code Signing CA - G2 签发
   
4. SHA1＋SHA256 摘要算法，RSA 摘要加密算法
   
5. 证书序列号：19 0f 45 7e 1b e3 3a f8 cd 43 29 da 9e 26 8e 21

复制代码

关于我们

1. https://www.5ireport.com/client
   
2. 
   
3. 大唐神州技术重点是企业级低代码敏捷云应用和金融大数据的研究与开发，公司目标是发展成为一家专注于 ToB 领域互联网+SaaS 云应用领导者！
   
4. 
   
5. ｘ注：根据异常数签声明来源的官方介绍，并不
   
6. 　　　代表官方参与了本次恶意驱动，仅供参考

复制代码

样本情况
https://ata.360.net/report/864878923054080
https://virusscan.jotti.org/zh-CN/filescanjob/2dc8fblziy
https://tix.qq.com/search/single?keyword=d36101ded1cde41593920e23486fc0dc
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AaB07r23mTITNisAPrfD
https://sandbox.dbappsecurity.com.cn/report/63caff68-0af9-4320-9bd3-40624293b535/flat
https://www.maldun.com/analysis/YXNkZmRzZmFkc2YxMzMwMTgyZHNmYXNkZmFzZGY=/
https://fenxi.antiy.cn/#/entirety/file/searchResult?hash=d36101ded1cde41593920e23486fc0dc
https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=d36101ded1cde41593920e23486fc0dc
https://www.virscan.org/report/94c874942f6c6edf1c9129c736d187c1c59bc106b2b7485da4d754ca9a478370
https://www.virustotal.com/gui/file/94c874942f6c6edf1c9129c736d187c1c59bc106b2b7485da4d754ca9a478370
https://s.threatbook.com/report/file/94c874942f6c6edf1c9129c736d187c1c59bc106b2b7485da4d754ca9a478370
https://sandbox.qianxin.com/tq/report/toNewReport.do?rid=f7cdcae61178ca35d149885990cfee23&sk=90866252
https://opentip.kaspersky.com/94C874942F6C6EDF1C9129C736D187C1C59BC106B2B7485DA4D754CA9A478370/results?tab=upload

样本（发现提供）
提取码：无，解压码：52pojie

1. https://www.lanzouq.com/i1mSQ45dg6gb?unzip=52pojie

复制代码

wwwab

驭龙 发表于 2026-9-9 22:27
2016年就过期的证书，这不是掩耳盗铃吗？

就是因为2013-2015年签发的过期有效签名才会被Windows加载: https://bbs.kanxue.com/thread-272998-1.htm，才能通过DSE，否则需要微软WHQL签名。这是微软的机制。

wowocock

这系列的木马挂钩非常底层，而且对360急救箱做了专门针对处理，敢对抗就立刻给你黑屏重启，而且处理不好将导致系统无法启动。建议使用火绒恶性木马专杀查杀。

wowocock

00006666 发表于 2026-9-10 15:38
在有内核隔离的现代WIN系统里面，这驱动都不可能允许运行，有VMP就不可能加载了，以后的系统还会强制开启 ...

木马作者都有钱，买WHQL签名不是问题，至于加壳，还有其他办法，永远不要小看木马作者的顽强能力。

wowocock

落霜枫舞 发表于 2026-9-11 10:03
微软收紧签名政策是怎么遏制他们的？是外流的 WHQL 证书变少了，还是会直接检测加壳

微软不给加了VMP的驱动签名，我驱动加了VMP，死活不给签。

hansyu

Norton 解压
____________________________

详情

威胁名称: Win64:MalwareX-gen [Misc]
威胁类型: 杂项 - 有损您数据、计算机或网络的恶意软件。
状态: 已移到 隔离区
选项: 报告误检
检测程序: 自动防护
在电脑上来自: 2026/9/9 下午10:17
上次使用时间: 2026/9/9 下午10:17
启动项: 否

未知
Norton 社区中使用了此文件的用户数未知。

新建的文件
此文件已于 9 天前 发行。

高
此文件具有高风险。
____________________________

来源

下载自: http://zone.identifier.invalid
____________________________

活动

路径 | 类型 | 状态
R:\Testbox\tncfqqty.sys | 文件 | 已修复

驭龙

2016年就过期的证书，这不是掩耳盗铃吗？

心醉咖啡

360

3306-1

驭龙 发表于 2026-9-9 22:27
2016年就过期的证书，这不是掩耳盗铃吗？

这点我也很奇怪，可能父进程病毒只是需要该驱动内某种类似移位载荷
或者父进程有可能利用某种系统畸形漏洞，静态异常，链条运行时正常

病毒不会无缘无故使用该驱动，链条部分模块是自杀式投弹无人机
不怕发现或被击毁，击毁代价是炸弹会被释放引爆，造成系统破坏

都是我瞎猜的，具体链条信息缺失严重

驭龙

3306-1 发表于 2026-9-9 22:44
这点我也很奇怪，可能父进程病毒只是需要该驱动内某种类似移位载荷
或者父进程有可能利用某种系统畸形漏 ...

这文件本体应该就是个rootkit，然后打个过期的签名，骗过一些早期的安全机制？

00006666

驭龙 发表于 2026-9-9 22:52
这文件本体应该就是个rootkit，然后打个过期的签名，骗过一些早期的安全机制？

卡在系统LOGO说明BIOS安全启动过掉了开始加载系统内的驱动，安全启动要出问题都看不到系统LOGO，卡巴斯基查杀这个不知道会不会上ELAM，大概率卡巴斯基提示重启大概率是想启动ELAM驱动吧，ELAM优先加载然后卡巴斯基ELAM驱动卡住了?

驭龙

00006666 发表于 2026-9-10 00:22
卡在系统LOGO说明BIOS安全启动过掉了开始加载系统内的驱动，安全启动要出问题都看不到系统LOGO，卡巴斯基 ...

不清楚，我没有分析样本，但感觉可能是这样本阻止了卡巴的清除，所以卡住了？

00006666

驭龙 发表于 2026-9-10 00:40
不清楚，我没有分析样本，但感觉可能是这样本阻止了卡巴的清除，所以卡住了？

ELAM驱动会优先于其他所有的第三方驱动加载，ELAM启动的时候其他第三方驱动没有加载没办法对抗吧。或者有可能是因为ELAM驱动ban掉这个木马驱动后系统出了某种问题卡住了，以前就有PE里面删然后原系统就进不去的。

驭龙

00006666 发表于 2026-9-10 00:51
ELAM驱动会优先于其他所有的第三方驱动加载，ELAM启动的时候其他第三方驱动没有加载没办法对抗吧。或者有 ...

删除样本以后缺少文件无法启动确实是有这种可能，不过不应该卡黑屏，应该是错误或者蓝屏，当然一切皆有可能，我没有分析样本，不确定具体原因