XRed 蠕虫病毒深度解析本文记录一次真实的企业终端蠕虫病毒应急过程。从一台电脑反复弹窗的怪现象到揪出伪装成触摸板驱动的病毒本体完整复盘排查思路与工具使用。一、奇怪的弹窗2026年1月底公司一台Windows电脑出现了诡异现象每次重启都会自动弹出VMware安装程序。用户确认已经关掉了所有开机自启项但弹窗依旧。右键查看这个安装程序的属性发现它藏在Temp目录下的一个隐藏文件夹里plainC:\Users\xxx\AppData\Local\Temp\[随机名称]\把文件名复制下来一搜确认为已知蠕虫病毒。直接删掉这个文件重启后它又回来了——说明这只是一个临时释放体真正的病毒主体还藏在系统某处每次开机都会重新生成它。二、找本体从Temp到ProgramData2.1 用Everything定位病毒文件用 Everything 全盘搜索病毒文件名如._cache_Synaptics.exe发现两处可疑位置%TEMP%目录下周期性生成同名文件自我保护释放体浏览器下载目录下发现了更早的主体程序这说明病毒本体不是那个弹窗的安装程序而是另有其人。2.2 注册表里的顽固分子顺着持久化的思路去查注册表在HKLM\Software\Microsoft\Windows\CurrentVersion\Run和服务项里发现了病毒创建的启动键值。但问题来了——删不掉管理员身份运行regedit提示无法访问reg delete强制删除失败takeownicacls夺权后再删还是失败2.3 安全模式删了但没完全删进安全模式Shift重启 → 疑难解答 → 高级选项 → 启动设置 → F4终于把注册表项删掉了。但重启后VMware弹窗又出现了。这说明之前删掉的只是病毒多个持久化点中的一个还有其他复活点没被发现。手工翻注册表效率太低而且容易漏。三、关键工具Autoruns换了个思路用 Sysinternals Autoruns 扫描所有自启动项。很快锁定了一个可疑进程Synaptics.exe右键Search Online一查发现蹊跷表格正常驱动可疑进程路径C:\Program Files\Synaptics\C:\ProgramData\Synaptics\说明真正的触摸板驱动病毒伪装病毒把文件描述改成了Synaptics Pointing Device Driver文件名和正版驱动一样路径却藏在ProgramData里——典型的伪装驱动手法。 识别伪装的简单方法正规驱动一般在Program Files或System32如果在ProgramData、AppData、Temp里看到驱动程序要高度警惕。在Autoruns里右键删掉这个启动项持久化配置就被清除了。四、清文件从删不掉到杀得掉Autoruns删掉了注册表但去删C:\ProgramData\Synaptics\文件夹时提示程序正在运行无法删除——病毒进程还在内存里。这时候想起一个细节这台电脑之前为了装某个非官方软件给天擎加了白名单。病毒正是借这个白名单躲过了查杀。操作步骤把天擎白名单里那条规则删掉用天擎全盘扫描C:\ProgramData\Synaptics\天擎终止了病毒进程并删除了文件手动清理%TEMP%下的._cache_Synaptics.exe残留重启验证没有弹窗Temp目录不再生成新文件注册表干净。这台电脑搞定了。五、原来不止一台传播链溯源单点清除后回头复盘这台电脑的感染路径天擎日志显示1月27日病毒首次出现用户承认从非官网下载了VMware安装包安装时天擎报警临时加了白名单放行同一个安装包传给同事同事的天擎直接拦截了蠕虫——说明安装包确实被捆绑了更麻烦的是这台电脑日常工作频繁用U盘传表格。检查发现U盘里的Excel文件已经被感染——关闭时后缀自动变成.xlsm里面被植入了恶意宏。其他同事插过这个U盘后多台终端相继中招。六、全网清除标准化流程对其他感染终端不再一台台进安全模式折腾而是直接用这套流程plainAutoruns扫描 → 定位ProgramData下的伪装启动项 → 右键删除 → 天擎查杀 → 清理Temp残留 → 重启验证每台几分钟搞定不需要进安全模式。全部处理完后重启复查所有终端恢复正常传播链切断。七、复盘为什么会中招表格问题说明安全意识不足从非官方渠道下载软件安装包白名单滥用为完成安装临时放行未知程序U盘无管控未开启插入自动扫描成为横向传播通道后续加固全面清理白名单禁止为无数字签名的程序永久放行开启天擎U盘自动扫描培训员工识别伪装驱动看路径、查签名、用Autoruns定期用Autoruns做基线扫描异常启动项自动告警八、一点心得这次事件让我对两件事印象很深第一Autoruns是应急响应的照妖镜。手工翻注册表只能看到冰山一角Autoruns能把所有自启动点注册表、服务、计划任务、驱动、Shell扩展等一次性扫出来。这次病毒伪装成驱动服务启动任务管理器根本看不到只有Autoruns能发现。第二不要和权限死磕。takeownicacls删不掉的时候与其硬刚不如换个思路——安全模式绕开驱动保护、Autoruns找其他复活点、或者直接用杀毒软件终止进程。应急响应讲究的是快速解决不是炫技。声明本文仅用于安全技术交流请勿用于非法用途。
XRed 蠕虫病毒深度解析本文记录一次真实的企业终端蠕虫病毒应急过程。从一台电脑反复弹窗的怪现象到揪出伪装成触摸板驱动的病毒本体完整复盘排查思路与工具使用。一、奇怪的弹窗2026年1月底公司一台Windows电脑出现了诡异现象每次重启都会自动弹出VMware安装程序。用户确认已经关掉了所有开机自启项但弹窗依旧。右键查看这个安装程序的属性发现它藏在Temp目录下的一个隐藏文件夹里plainC:\Users\xxx\AppData\Local\Temp\[随机名称]\把文件名复制下来一搜确认为已知蠕虫病毒。直接删掉这个文件重启后它又回来了——说明这只是一个临时释放体真正的病毒主体还藏在系统某处每次开机都会重新生成它。二、找本体从Temp到ProgramData2.1 用Everything定位病毒文件用 Everything 全盘搜索病毒文件名如._cache_Synaptics.exe发现两处可疑位置%TEMP%目录下周期性生成同名文件自我保护释放体浏览器下载目录下发现了更早的主体程序这说明病毒本体不是那个弹窗的安装程序而是另有其人。2.2 注册表里的顽固分子顺着持久化的思路去查注册表在HKLM\Software\Microsoft\Windows\CurrentVersion\Run和服务项里发现了病毒创建的启动键值。但问题来了——删不掉管理员身份运行regedit提示无法访问reg delete强制删除失败takeownicacls夺权后再删还是失败2.3 安全模式删了但没完全删进安全模式Shift重启 → 疑难解答 → 高级选项 → 启动设置 → F4终于把注册表项删掉了。但重启后VMware弹窗又出现了。这说明之前删掉的只是病毒多个持久化点中的一个还有其他复活点没被发现。手工翻注册表效率太低而且容易漏。三、关键工具Autoruns换了个思路用 Sysinternals Autoruns 扫描所有自启动项。很快锁定了一个可疑进程Synaptics.exe右键Search Online一查发现蹊跷表格正常驱动可疑进程路径C:\Program Files\Synaptics\C:\ProgramData\Synaptics\说明真正的触摸板驱动病毒伪装病毒把文件描述改成了Synaptics Pointing Device Driver文件名和正版驱动一样路径却藏在ProgramData里——典型的伪装驱动手法。 识别伪装的简单方法正规驱动一般在Program Files或System32如果在ProgramData、AppData、Temp里看到驱动程序要高度警惕。在Autoruns里右键删掉这个启动项持久化配置就被清除了。四、清文件从删不掉到杀得掉Autoruns删掉了注册表但去删C:\ProgramData\Synaptics\文件夹时提示程序正在运行无法删除——病毒进程还在内存里。这时候想起一个细节这台电脑之前为了装某个非官方软件给天擎加了白名单。病毒正是借这个白名单躲过了查杀。操作步骤把天擎白名单里那条规则删掉用天擎全盘扫描C:\ProgramData\Synaptics\天擎终止了病毒进程并删除了文件手动清理%TEMP%下的._cache_Synaptics.exe残留重启验证没有弹窗Temp目录不再生成新文件注册表干净。这台电脑搞定了。五、原来不止一台传播链溯源单点清除后回头复盘这台电脑的感染路径天擎日志显示1月27日病毒首次出现用户承认从非官网下载了VMware安装包安装时天擎报警临时加了白名单放行同一个安装包传给同事同事的天擎直接拦截了蠕虫——说明安装包确实被捆绑了更麻烦的是这台电脑日常工作频繁用U盘传表格。检查发现U盘里的Excel文件已经被感染——关闭时后缀自动变成.xlsm里面被植入了恶意宏。其他同事插过这个U盘后多台终端相继中招。六、全网清除标准化流程对其他感染终端不再一台台进安全模式折腾而是直接用这套流程plainAutoruns扫描 → 定位ProgramData下的伪装启动项 → 右键删除 → 天擎查杀 → 清理Temp残留 → 重启验证每台几分钟搞定不需要进安全模式。全部处理完后重启复查所有终端恢复正常传播链切断。七、复盘为什么会中招表格问题说明安全意识不足从非官方渠道下载软件安装包白名单滥用为完成安装临时放行未知程序U盘无管控未开启插入自动扫描成为横向传播通道后续加固全面清理白名单禁止为无数字签名的程序永久放行开启天擎U盘自动扫描培训员工识别伪装驱动看路径、查签名、用Autoruns定期用Autoruns做基线扫描异常启动项自动告警八、一点心得这次事件让我对两件事印象很深第一Autoruns是应急响应的照妖镜。手工翻注册表只能看到冰山一角Autoruns能把所有自启动点注册表、服务、计划任务、驱动、Shell扩展等一次性扫出来。这次病毒伪装成驱动服务启动任务管理器根本看不到只有Autoruns能发现。第二不要和权限死磕。takeownicacls删不掉的时候与其硬刚不如换个思路——安全模式绕开驱动保护、Autoruns找其他复活点、或者直接用杀毒软件终止进程。应急响应讲究的是快速解决不是炫技。声明本文仅用于安全技术交流请勿用于非法用途。
