yewzycb.dll pchxcfye.sys 病毒檔案

360檢測出兩個可疑檔案

c:/windows/system32/yewzycb.dll

c:/windows/system32/drivers/pchxcfye.sys

 

但是自動清除失敗。刪除兩個檔案失敗，應該是正在被訪問，無法刪除。註冊表中相關項目刪除失敗，應該是這個dll檔案進行了rootkit保護。

用procmon發現，有三個進程載入了yewzycb.dll，分別是winlogon.exe explorer.exe svchost.exe

修改的登錄機碼：

 

用了winlogon注入：“Winlogon通知包(Winlogon Notification Package)”就是處理winlogon在切換狀態時發出的事件的DLL。

在系統登入時，載入這個dll，所以安全模式下也會被載入。

HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/Notify/fednvvbu/DLLName

yewzycb.dll

 

HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Services/midlveai

ImagePath %SystemRoot%/System32/svchost.exe -k netsvcs

描述資訊 Monitor for NDIS System

NDIS System Monitor

HKEY_LOCAL_MACHINE/SYSTEM/ControlSet/Services/pchxcfyeImagePath system32/drivers/pchxcfye.sys另外，系統中還有一個c:/windows/system32/onnsyzlh.dll，不知道跟上面是否相關。