专家实战录：遭遇狡猾病毒不断改名逃避查杀cLs陕西公汇信息技术有限公司
【赛迪网-IT技术报道】【编者按：首先非常感谢铁军同志！朋友的电脑出了问题，Mcafee总是提示有病毒清除不了，公司不方便远程操作，只好找到铁军帮忙。可惜最后两个文件远程操作无法删除，手头还没有WinPE盘。看来为了应对越来越狡猾的病毒，准备一个WinPE已经势在必行。】cLs陕西公汇信息技术有限公司
下午李磊给我一个LOG，看了看发现几个可疑文件cLs陕西公汇信息技术有限公司
c:\windows\system32\mssrv32.execLs陕西公汇信息技术有限公司
C:\WINDOWS\system32\tmp.execLs陕西公汇信息技术有限公司
C:\WINDOWS\system32\com\laaegiyboccw.dllcLs陕西公汇信息技术有限公司
c:\windows\system32\usmt\wvrqtmsth.dllcLs陕西公汇信息技术有限公司
C:\WINDOWS\system32\winini.execLs陕西公汇信息技术有限公司
c:\windows\system32\Drivers\Tjm15.syscLs陕西公汇信息技术有限公司
C:\WINDOWS\system32\gtwkvegqpm.dllcLs陕西公汇信息技术有限公司
C:\WINDOWS\system32\wsxafnkqsdevx.dllcLs陕西公汇信息技术有限公司
C:\WINDOWS\system32\oegqglvyni.dllcLs陕西公汇信息技术有限公司
先写个批处理尝试拷贝样本，从传过来的文件看，少了tjm15.sys。cLs陕西公汇信息技术有限公司
远程连接过去，装上清理专家，发现6个恶意软件。cLs陕西公汇信息技术有限公司
清除这几个之后重启，发现有两个东东死赖着不走。cLs陕西公汇信息技术有限公司
c:\windows\system32\wlctrl32.dllcLs陕西公汇信息技术有限公司
c:\windows\system32\drivers\khk41.syscLs陕西公汇信息技术有限公司
尝试用文件粉碎器删除，重启又来了，粉碎后立即拔电源也没搞定。cLs陕西公汇信息技术有限公司
看来只有一条路，WinPE引导后删除，这已经没办法远程操作。cLs陕西公汇信息技术有限公司
这个sys文件每次重启会改名。cLs陕西公汇信息技术有限公司

cLs陕西公汇信息技术有限公司