※ 引述《Crushredkiss (KappaOuO)》之铭言： : http://i.imgur.com/ubxJjxj.jpg : 我C碟Windows资料夹底下目前出现这个 : 而去防毒软体看之後发现 : http://i.imgur.com/EfVVbhh.jpg : 我电脑在5/7就把item.dat挡下来了 : 目前电脑是没有异样但高度怀疑是目标了 : 我是Windows7，请问大神们这样有防堵的机会吗 : 有参考上面i大的文章 #1P5amuty 关闭SMBv1协定了 前几天帮朋友装Bitdefender也有扫到 他没更新win7，应该是透过SMB漏洞感染 本来以为删掉就没事 结果之後每三小时就跳Web Threat Blocked通知 显示scrcons.exe(系统档案用来执行wmi脚本)试着连线 wmi. mykings. top:8888/test.htm1 wmi. mykings. top:8888/kill.htm1 防毒更新後再扫也没有异状 查了google才发现是WMI脚本劫持 (常见於浏览器首页绑架，防毒扫不到) 就是利用WMI脚本定时执行 建立工作排程下载木马 (这边有装防毒应该都会侦测到) 但是防毒抓不到源头的WMI脚本 才会一直定时执行下载木马… 解法很简单： 1.下载微软 Autoruns https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns 把WMI的 fuckyoumm2_consumer 脚本删掉 (名称可能不同，注意红底标示的非系统项目) 再把工作排程 Mysa 删掉 (名称可能不同就检查执行内容) 顺便检查启动项目有没有怪东西 2.下载微软 Process Explorer https://docs.microsoft.com/en-us/sysinternals/downloads/process-explorer 检查程序中有没有 rundll32.exe 挂载 item.dat 把他kill掉 检查 c:\windows\debug\ 删除 item.dat 收工 这只木马原本好像是透过SQL注入 1月时就被大蜘蛛和卡巴收录病毒库 到4月底SMB漏洞改用WMI脚本劫持才比较多案例 但不像wannacry主动攻击，中的人也不多 而且下载的是已经入库的木马 有装防毒顶多就是定时扫到跳通知 XD 有类似症状的记得检查WMI 相关资料： Dr.Web 病毒资料 https://vms.drweb.com/virus/?i=14934685 New(ish) Mirai Spreader Poses New Risks https://goo.gl/N1o9IL Vinc's Blog windows应急响应（20170503） https://goo.gl/2JSLoM EternalBlue Exploit Actively Used to Deliver Remote Access Trojans https://goo.gl/JWpzAA --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 122.116.86.145 ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/AntiVirus/M.1495815058.A.883.html 编辑：补充内容并修改标题方便搜寻。 ※ 编辑: mkz6 (122.116.86.145), 08/13/2017 10:19:11