专家实战录：遭遇狡猾病毒不断改名逃避查杀xD8陕西公汇信息技术有限公司
【赛迪网-IT技术报道】【编者按：首先非常感谢铁军同志！朋友的电脑出了问题，Mcafee总是提示有病毒清除不了，公司不方便远程操作，只好找到铁军帮忙。可惜最后两个文件远程操作无法删除，手头还没有WinPE盘。看来为了应对越来越狡猾的病毒，准备一个WinPE已经势在必行。】xD8陕西公汇信息技术有限公司
下午李磊给我一个LOG，看了看发现几个可疑文件xD8陕西公汇信息技术有限公司
c:\windows\system32\mssrv32.exexD8陕西公汇信息技术有限公司
C:\WINDOWS\system32\tmp.exexD8陕西公汇信息技术有限公司
C:\WINDOWS\system32\com\laaegiyboccw.dllxD8陕西公汇信息技术有限公司
c:\windows\system32\usmt\wvrqtmsth.dllxD8陕西公汇信息技术有限公司
C:\WINDOWS\system32\winini.exexD8陕西公汇信息技术有限公司
c:\windows\system32\Drivers\Tjm15.sysxD8陕西公汇信息技术有限公司
C:\WINDOWS\system32\gtwkvegqpm.dllxD8陕西公汇信息技术有限公司
C:\WINDOWS\system32\wsxafnkqsdevx.dllxD8陕西公汇信息技术有限公司
C:\WINDOWS\system32\oegqglvyni.dllxD8陕西公汇信息技术有限公司
先写个批处理尝试拷贝样本，从传过来的文件看，少了tjm15.sys。xD8陕西公汇信息技术有限公司
远程连接过去，装上清理专家，发现6个恶意软件。xD8陕西公汇信息技术有限公司
清除这几个之后重启，发现有两个东东死赖着不走。xD8陕西公汇信息技术有限公司
c:\windows\system32\wlctrl32.dllxD8陕西公汇信息技术有限公司
c:\windows\system32\drivers\khk41.sysxD8陕西公汇信息技术有限公司
尝试用文件粉碎器删除，重启又来了，粉碎后立即拔电源也没搞定。xD8陕西公汇信息技术有限公司
看来只有一条路，WinPE引导后删除，这已经没办法远程操作。xD8陕西公汇信息技术有限公司
这个sys文件每次重启会改名。xD8陕西公汇信息技术有限公司

xD8陕西公汇信息技术有限公司