电脑被感染病毒，难以处理

Question

2024年4月9日，我发现我的电脑中了病毒。
电脑桌面上多了一个软件，叫做ToDesk，是一款远程控制电脑的软件。
诈骗分子在凌晨五点利用该软件控制了我的电脑，并进入我的微信，传播诈骗信息。
于是我冻结账号后，立即下载了360杀毒软件，但是360根本打不开，只要运行就闪退，
可能是病毒强行关闭或隐藏了360的窗口。而且，360文件粉碎机也会闪退。
我查看了任务管理器，发现有一个程序的CPU达到了百分之七十。
但是当我右键并打开文件所在位置的时候，却发现文件夹是空的。

同时，我还发现了一个软件，我没有见过它，但是我也不确定它是不是病毒。

于是我又下载了火绒杀毒，所有病毒全部被清理掉了。

现在我的电脑处于一个正常的状态。
我把火绒杀毒里的隔离区文件全部提取了出来，并放在虚拟机里运行，但就在这时，病毒似乎失效了。
我其实是想通过抓包工具抓取ｉｐ地址来确定诈骗分子的地址，但是病毒现在无法运行，找不着原因。
在电脑中病毒的前一晚上，我使用了Motrix软件，这是一款下载器，还有PrivaZer_free，这是磁盘清理工具。
这两款软件我在虚拟机里运行过了，没有发现威胁。

现在请高人帮忙，不知道病毒的来源，以及如何监视并运行病毒。
隔离区文件:https://pan.baidu.com/s/1atOMVUxRvextn8zOnHRNXg?pwd=6666
提取码6666

Answer 1

引自免费微信小程序：皆我百晓生

首先，对于您遇到的问题，我可以提供以下几个步骤来帮助您分析和解决：

1. 进一步确认病毒来源：

   • 检查最近的下载历史和安装的软件，看是否有可能从不可信源获取的软件导致病毒感染。
   • 查看浏览器的浏览历史，看看是否有可疑网站的访问记录。
   • 如果可能，检查电子邮件收件箱，特别是垃圾邮件，看是否存在钓鱼邮件或带有恶意附件的情况。

2. 了解已知病毒：

   • 根据火绒杀毒列出的病毒和木马，可以进行在线查询，了解它们的行为特征和传播途径。
   • D:\ProgramData\Dx112\dxFastRun.exe 和 C:\Windows\System32\drivers\hwmon1.sys 可能是 rootkit 或者 loader 类型的病毒，这类病毒通常会隐藏自己并加载其他恶意模块。
   • C:\EEEEE\Python\CAOW 工智能主题编程课程\Qlcon Changer.exe 和 C:\EEEEE\Python\tkinter\py2exe-0.6.9.win32-py2.7.exe 可能是被感染的 Python 文件。

3. 恢复受感染文件：

   • 尝试将隔离区中的文件解压到一个新的干净环境中，然后使用沙盒技术（如 Sandboxie）或虚拟机来运行这些文件，观察其行为。
   • 使用静态分析工具（如 VirusTotal、Joxeankoret、PEiD 等）分析这些文件，以了解其内部结构和行为。

4. 抓取 IP 地址：

   • 如果诈骗分子已经不再使用 ToDesk 进行攻击，那么可能很难直接通过运行病毒找到他们的 IP 地址。
   • 不过，您可以检查系统的日志文件（如 Windows 的 Event Viewer），看看是否有与 ToDesk 或其他可疑活动相关的记录，可能会包含一些线索。
   • 如果您之前有运行抓包工具（如 Wireshark），请查找与 ToDesk 相关的通信记录，看看是否有 IP 地址。

5. 增强电脑防护：

   • 安装并更新防病毒软件，比如火绒杀毒，保持实时保护开启。
   • 定期扫描系统，尤其是启动项和系统关键目录。
   • 更新操作系统和应用至最新版本，修复可能的安全漏洞。
   • 使用防火墙阻止未授权的网络连接。
   • 对重要数据定期做备份。

6. 提高网络安全意识：

   • 避免点击不明链接和附件，尤其是在电子邮件和社交媒体上。
   • 使用强密码，并启用双因素认证。
   • 定期清理浏览器缓存和cookies，防止潜在的跨站脚本攻击。

关于您提到的提取隔离区文件，在虚拟机中运行它们，病毒失效可能是因为虚拟环境对病毒进行了限制，使其无法执行某些操作。在这种情况下，静态分析可能更为有效。如果您需要分析这些文件，可以尝试使用在线分析工具，如 VirusTotal，它可以帮助识别病毒特征并报告给多个反病毒引擎。