作者mlbgary1994 (bluesky)
看板AntiVirus
標題[求救] 惡意挖礦程式 nvxmrsync.exe
時間Sun Feb 25 13:55:47 2018
███████發文時，如果文字沒有顏色，可以使用「Ctrl+V」開啟顏色███████
1. 敘述問題：
上周發現實驗室的電腦效能低落，查看工作管理員發現是nvxmrsync.exe在使用大量
CPU(
https://i.imgur.com/S9SmtwE.jpg)，查看路徑是在另一個使用者adminstrator裡面
，但我平常是用granite使用者，adminstrator非我使用，有先後使用pc-cillin(註)、
卡巴斯基掃過，掃描結果都無異常，試過手動刪除，但過一陣子就會自動跑出來，
網路上大多數文章都來自某防毒程式，有試過但似乎無效，且要付費，想請板尚上專家們
幫忙想個辦法，謝謝。
註：pc-cilin多次發生未知原因防毒本身被移除
2. 系統資料：
win7
3. 分析報告：
Combofix報告：
Hijackthis ：
SRENG ：
防毒軟體報告：
https://i.imgur.com/n6wkCO9.jpg
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 140.112.10.91
※ 文章網址: https://webptt.com/m.aspx?n=bbs/AntiVirus/M.1519538151.A.8C8.html
1F：→ mlbgary1994: 本人自身未有任何挖礦行為 02/25 13:57
2F：→ KevinYu0504: 請試試 Malwarebytes 及 Zemana Antimalware 這兩套 02/25 14:20
3F：→ KevinYu0504: 掃瞄看看。 02/25 14:20
4F：推 dannana: 竟然連kis都掃不到哦？ 02/25 16:08
5F：→ dennisxkimo: 如果是純挖礦程式 不被當作病毒也很正常 02/25 16:19
6F：→ dennisxkimo: 該找出的是 重新產生並執行挖礦程式的病毒主體 02/25 16:21
7F：→ dennisxkimo: 不然就是太新了還沒被舉報為病毒常用挖礦程式 02/25 16:24
8F：→ dennisxkimo: 挖礦病毒 多數不會把挖礦程式放在桌面 會藏起來 02/25 16:26
9F：→ dennisxkimo: 不過最近發現偷挖限制50%趨勢(全開很快會被報修發現) 02/25 16:27
10F：推 waterblue85: 這台電腦有其他使用者嗎？ 02/25 17:33
電腦只有我使用，administrator以前沒被開啟(印象中)，目前我是關閉admini使用者，
不知能否解決
※ 編輯: mlbgary1994 (140.112.10.91), 02/25/2018 19:04:12
11F：推 DINJIAPC: 請趨勢客服處理啊 02/25 20:57
12F：推 godchildtw: 程式固定在一個資料夾的話，手動刪掉，新增一個同名檔 02/25 23:44
13F：→ godchildtw: 案，設定成 唯讀 隱藏 系統 attrib *.exe +r +h +s -a 02/25 23:45
14F：→ godchildtw: 只是如果他夠厲害的話，還是會先把這檔案刪掉再生出來 02/25 23:48
16F：推 wkshiao: 可能是nVidia顯卡驅動問題 02/26 14:24
18F：→ wkshiao: Google找到的根本不是正確資訊，都是那些程式的廣告 02/26 14:26
19F：→ DINJIAPC: 掃描器只能處理已知的惡意程式，就是要檢視那些惡意可 02/26 17:44
20F：→ DINJIAPC: 疑的當案才需要創建log啊要搞麻煩事又不跑報告出來。那 02/26 17:44
21F：→ DINJIAPC: 不如不要問 自己先重灌好了 02/26 17:44
※ 編輯: mlbgary1994 (140.112.10.91), 02/26/2018 18:45:28
22F：推 DINJIAPC: 再來你實驗室有沒有區網？誰在管理？誰能連入電腦？你 02/26 19:43
23F：→ DINJIAPC: 不在之後學長弟會不會白爛來加減挖？ 02/26 19:43
24F：→ DINJIAPC: 圖示註釋很明顯寫了是挖礦器了.... 02/26 19:44
25F：→ DINJIAPC: 你那台nod32有再用？系統版本也不寫明 你真當這裡叫防 02/26 19:47
26F：→ DINJIAPC: 毒客服版嗎？ 02/26 19:47
27F：推 saimeitetsu: 看他用哪個port, 通通黑掉 03/06 17:34