What is this Process and Why is it Running【三】

最新推荐文章于 2024-12-09 08:55:28 发布
原创 最新推荐文章于 2024-12-09 08:55:28 发布 · 1.7k 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#Process and Running #audiodg #GandCrab #virus find and antivirus #U disk

audiodg.exe

Windows音频设备图形隔离进程，是一个正常的系统进程，英文名称为audiodg.exe，windows7系统不会以英文名显示。

Windows音频设备图形隔离程序是一种系统保护进程，出于系统安全需要，用于防止未授权软件或硬件捕获高清晰度视频格式文件的内容，还可以大幅度的提升耳机音质。

对于此正常进程，一般情况下不会占用太多CPU，如果占用过高的情形一旦出现，按照这几点原因进行排查：

  1. 声卡驱动的问题，进行声卡驱动的更新【贴出更新教程】https://jingyan.baidu.com/article/d169e18603a087436611d8d7.html
  2. 检查音量设置，是否音量设置过高，音量越高越容易出问题【提醒一点，音量最好保持在60%以下】

（对于其他任务是否启用过多，自我感觉没必要，因为占用CPU详细比例已经显示在任务管理器中了）

  1. 最重要也是我最不想面对的一点，如果确定不是上边的原因，都确定好了，那么还是接受电脑有可能中毒了
顺便提供如何处理这个问题
  1. 针对Skype采取措施，卸载再重装
  2. 更新声卡驱动（上面提到了）
  3. 关掉所有声音
  4. 运行音频疑难解答
  5. 扫描病毒

http://www.ghost580.com/win10/2018-01-01/23200.html【详细解决方案】
在这里插入图片描述
任务管理器中此进程以这种形式存在，发现它是件好事，但发现它的原因就…，心有余悸，开始这个故事：

10月14日，像往常一样，我在本机中插入U盘，打开U盘，并没有看到我的那堆文件，而是有一个小小的磁盘图标开头，名为U盘快捷方式的文件，我意识到有问题了，但还是手残~双击【以后一旦有意识一定不点】，接着就看到Windows Defender报威胁了

在这里插入图片描述

本来以为确定了是GandCrab病毒了，这可是2018年的新病毒啊，对于此病毒如果请企业杀毒，开价将和赎金不相上下。

不太屈服命运的灵魂促使我进行了连续实验，果然，最新的判断为蠕虫病毒

想要进行准确判断必须铤而走险进去看了，但肯定不会关掉Windows Defender强行进去的

首先我取下U盘，对电脑进行了一次全方位扫描，任务管理器中基于前两篇

What is this Process and Why is it Running【一】

What is this Process and Why is it Running【二】

进行了一一排查，确认没有异常进程后，接着进入日志，查看了那个时间段的日志

一切的一切确认好了

下一步，送进虚拟机

与主机断开连接【在虚拟机选项中】，我在Ubuntu中进行的操作

鉴于之前未安装过exfat-utils首先sudo apt-get install exfat-fuse exfat-utils安装ExFAT支持

不然会出现这种结果

在这里插入图片描述
打开Ｕ盘，首先看到的是

  1. 我的文件被放到了一个文件夹中
  2. 多了一个文件夹叫做system volume information
  3. 多了一个文件叫做autorun.exe

点击存放我文件的文件夹，进去后一直看到最深处，依次发现了wpssetting thumbs _WAJAJIEKZP.nil IndexerVolumeGuid 等文件以及它们的重复出现【其中IndexerVolumeGuid便是我上面提到的中病毒的可能原因，这是一个控制本机音量的自动执行的文件】

一波删，shift + delete 完全删除，我将Ｕ盘上所有非正常文件全部删除，将文件单独拖出来（以至于杀完毒之后U盘需要扫描恢复）对于除此之外的几个数据文件和配置文件我选择了记录

一心想着杀毒，导致很多数据我没有全部保存下来，遗憾！！！

幸运的是碰到的病毒比较好搞，遗憾没有顺着初心判断出来具体病毒的原理，至少U盘恢复了

。。。

故事讲完了，描述中有不当的地方还请提出来

大家如果也曾碰到过同样的或者不小心碰到的可以指点指点，交流交流 QQ：1223950227

AI人工智能大模型中——数据集就是一切 The dataset is everything
AI天才研究院
04-25 881
我认为对计算乘数的搜索比任何不严格遵守缩放定律的人想象的要普遍得多：实际上，机器学习领域的每一位不研究现有技术的新应用的科学家都应该执行计算效率扫描以确保他们的发现确实相关。不过，随着训练的进行，这些机制会“上线”：当您需要提高学习更复杂的数据分布层的能力时，它们就会提供有意义的价值。更重要的是，认识到像 GPT-4 或 DALL-E 3 这样的巨大模型仍然存在根本性缺陷，这表明试图从 Llama 2 或 Stable Diffusion 等相对较小的模型中获得真正智能的行为是没有希望的。
Why do we need eventdriven architectures in microservices
AI天才研究院
08-04 1766
作者：禅与计算机程序设计艺术Event-driven architecture is one of the critical architectural patterns that has become increasingly popular among software developers and architects over the past few years. In this article, I will provide a brief overview of what an event-d
内核添加USB驱动
樊茂林的博客
04-19 5036
一、添加在内核中添加U盘  Device Drivers  --->       Generic Driver Options  --->                   (/sbin/hotplug) path to uevent helper                  //配置u盘的热拔插       [*] Block devices  --->
IndexerVolumeGuid
10-28
IndexerVolumeGuid
挖矿病毒audiodg.exe\taskhost.exe溯源与手动查杀方法
weixin_61738543的博客
04-15 1万+
前言 首先大家会打开到这篇文章，就已经说明你大概率已经被病毒所困扰了。自从byrut网站为大家提供了大部分不安全的盗版游戏资源，很多人都从这些资源中被病毒感染，并且难以靠普通的杀毒软件进行杀毒了。其中一个最让人最难受的资源，就是这个类似病毒工厂会自动生成木马一样的病毒。如果你想靠自己处理掉这些木马文件，或许我的文章所分享的经验可以帮助到你！ 我并非专业查杀病毒的人员，只是一个普通的本科开发实习生，以下内容是为了简单的分享一下这类病毒的手动清理方式，还有分享发现这一病毒后的思考，以及溯源的方式与思路。
What is svchost.exe And Why Is It Running?
cdestiny的专栏
08-16 656
What is svchost.exe And Why Is It Running? You are no doubt reading this article because you are wondering why on earth there are nearly a dozen processes running with the name svchost.
彻底解决电脑空闲时，Win音频设备图形隔离（系统进程）占用CPU的问题
热门推荐
NSJim的博客
02-27 9万+
解决电脑空闲时，系统进程 - Win音频设备图形隔离占用CPU的问题，禁用响应你好小娜和音频增强功能。
What is Verilog? An Introduction to Hardware Description Language
A Hardware Description Language (HDL) is a speci***pared to traditional high-level programming languages such as C and Python, HDLs place a greater emphasis on hardware-level details and parallelism. ...
请告诉我具体的实验步骤： Lab: system calls In the last lab you used system calls to write a few utilities. In this lab you will add some new system calls to xv6, which will help you understand how they work and will expose you to some of the internals of the xv6 kernel. You will add more system calls in later labs. Before you start coding, read Chapter 2 of the xv6 book, and Sections 4.3 and 4.4 of Chapter 4, and related source files: • The user-space "stubs" that route system calls into the kernel are in user/usys.S, which is generated by user/usys.pl when you run make. Declarations are in user/user.h • The kernel-space code that routes a system call to the kernel function that implements it is in kernel/syscall.c and kernel/syscall.h. • Process-related code is kernel/proc.h and kernel/proc.c. To start the lab, switch to the syscall branch: $ git fetch $ git checkout syscall $ make clean If you run make grade you will see that the grading script cannot exec trace and sysinfotest. Your job is to add the necessary system calls and stubs to make them work. Using gdb (easy) In many cases, print statements will be sufficient to debug your kernel, but sometimes being able to single step through some assembly code or inspecting the variables on the stack is helpful. To learn more about how to run GDB and the common issues that can arise when using GDB, check out this page. To help you become familiar with gdb, run and then fire up gdb in another window (see the gdb bullet on the guidance page). Once you have two windows open, type in the gdb window: make qemu-gdb (gdb) b syscall Breakpoint 1 at 0x80002142: file kernel/syscall.c, line 243. (gdb) c Continuing. [Switching to Thread 1.2] Thread 2 hit Breakpoint 1, syscall () at kernel/syscall.c:243 243 { (gdb) layout src (gdb) backtrace The layout command splits the window in two, showing where gdb is in the source code. The backtrace prints out the stack backtrace. See Using the GNU Debugger for helpful GDB commands. Answer the following questions in answers-syscall.txt. Looking at the backtrace output, which function called syscall? Type a few times to step past struct proc *p = myproc(); Once past this statement, type , which prints the current process's proc struct (see kernel/proc.h>) in hex. np /x *p What is the value of p->trapframe->a7 and what does that value represent? (Hint: look user/initcode.S, the first user program xv6 starts.) The processor is running in kernel mode, and we can print privileged registers such as sstatus (see RISC-V privileged instructions for a description): (gdb) p /x $sstatus What was the previous mode that the CPU was in? In the subsequent part of this lab (or in following labs), it may happen that you make a programming error that causes the xv6 kernel to panic. For example, replace the statement num = p->trapframe->a7; with num = * (int *) 0; at the beginning of syscall, run , and you will see something similar to: make qemu xv6 kernel is booting hart 2 starting hart 1 starting scause 0x000000000000000d sepc=0x000000008000215a stval=0x0000000000000000 panic: kerneltrap Quit out of qemu. To track down the source of a kernel page-fault panic, search for the sepc value printed for the panic you just saw in the file kernel/kernel.asm, which contains the assembly for the compiled kernel. Write down the assembly instruction the kernel is panicing at. Which register corresponds to the variable num? To inspect the state of the processor and the kernel at the faulting instruction, fire up gdb, and set a breakpoint at the faulting epc, like this: (gdb) b *0x000000008000215a Breakpoint 1 at 0x8000215a: file kernel/syscall.c, line 247. (gdb) layout asm (gdb) c Continuing. [Switching to Thread 1.3] Thread 3 hit Breakpoint 1, syscall () at kernel/syscall.c:247 Confirm that the faulting assembly instruction is the same as the one you found above. Why does the kernel crash? Hint: look at figure 3-3 in the text; is address 0 mapped in the kernel address space? Is that confirmed by the value in scause above? (See description of scause in RISC-V privileged instructions) Note that scause was printed by the kernel panic above, but often you need to look at additional info to track down the problem that caused the panic. For example, to find out which user process was running when the kernel paniced, you can print out the process's name: (gdb) p p->name What is the name of the binary that was running when the kernel paniced? What is its process id (pid)? This concludes a brief introduction to tracking down bugs with gdb; it is worth your time to revisit Using the GNU Debugger when tracking down kernel bugs. The guidance page also has some other other useful debugging tips.
最新发布
11-16
#### 三、内核崩溃追踪方法 1. **定位崩溃点** - QEMU崩溃输出示例： ``` sepc=0x0000000080001a76 stval=0x0000000000000000 ``` - 使用GDB查找问题位置： ```gdb (gdb) x/i 0x80001a76 # 查看崩溃点指令 `...
Why is `.catch(err =＞ console.error(err))` discouraged?
suiusoar
12-09 786
为什么 `.catch(err => console.error(err))` 会被不推荐使用？
什么是“ Windows音频设备图形隔离”，为什么它在我的PC上运行？
cum88284的博客
09-18 2万+
If you spend any time in Task Manager, you may have noticed something called “Windows Audio Device Graph Isolation”, and wondered why it sometimes goes a bit nuts with system resource usage. Here’s wh...
CQU恶意代码分析实验二
qq_62535870的博客
03-27 2044
将U盘上的两个分区格式化,分别格式化为FAT32格式和NTFS格式，然后在两个分区分别创建大文件、小文件和文件夹，来观察两种文件系统的存储原理。
关于“文件或目录损坏且无法读取” 的 CHKDSK 修复方法
qq_44855807的博客
03-06 9006
CHKDSK 的功能 CHKDSK 全称 Microsoft Check Disk，是一个用于磁盘检查的指令程序。CHKDSK 的基本功能是扫描磁盘上的文件系统的完整性，并修复文件系统的错误；CHKDSK 还支持扫描磁盘上的磁盘区，并试图修复损毁的磁盘区。用户可以手动调用命令行以检测磁盘分区。如果不输入任何参数，CHKDSK 一般只显示被检测磁盘的状态报告。若附带指定参数，CHKDSK 便会修复错误。 CHKDSK 的句法 以下是关于 CHKDSK 的句法以及常用参数的详细介绍： CHKDSK的句法
windows下System Volume Information Folder文件夹过大的处理
galaxycraft的博客
05-06 3750
windows下System Volume Information Folder文件夹过大的处理问题：System Volume Information Folder文件夹特别大，常规操作，不建议System Volume Information文件夹里面有啥怎样清理System Volume Information文件夹?vssadmin（查看卷影副本）wbadmin清理Dedup ChunkStore in System Volume Information 本文使用工具应该都要在powershell下
20美亚杯个人电子取证
孤勇傻兔的博客
10-30 968
这个得看证据文件，里面有相关照片 直接去图片里找 这个导出看属性 根据选项来找 注意选A，E选项开头字符是B
Windows系统中如何标识一个卷(Volume)
一个码农的前三十年
06-15 4155
从事数据存储底层工作的小伙伴们应该会关心以下两个问题：    1. 如何标识一个卷？    2. 新建了一个卷，以挂载文件夹的方式同时挂载到E:\abc和F:\def，此时这两个挂载点如何区分？
怎么禁止windows音频设备图形隔离程序_Windows 10中音频设备图形间隔内存占用较高的处理方法...
weixin_39866867的博客
11-21 7691
在使用Windows 10的操作系统的时候，有时会出现程序或者其他的软件在使用时出现卡顿的情况。通过运行Windows 10的"任务管理器"中观察，发现有一个"Windows 音频设备图形间隔"的进程占用的内存比较高。通过一些尝试，可以使用下面的方法处理。现将处理方法共享如下。1.使用鼠标右键点击Windows 10的开始菜单，在弹出的菜单中点击选择打开"设备管理器"2.在设备管理器的界面中找到声...
FATFS文件系统详解
爱出名的狗腿子
06-02 7280
随着硬盘/flash容量不断增大，存储的数据也越来越多，早期单一的对应地址存放对应数据的方案已经无法满足我们的需求，因此一群大佬们便开始设计文件系统这样一个东西，用来管理硬盘/flash上的数据信息。 本文主要分享关于FAT文件系统的详细设计。通过对FAT文件系统组成介绍，字段分析并采用新增文件实践分析的方式，详细阐述FAT文件系统的工作原理！
怎样彻底删除"System Volume Information"病毒
仰望者！
02-25 4178
System Volume Information是系统还原文件夹，里面包含了文件索引等功能的调用，即使关闭了驱动器的系统还原功能，System Volume Information文件夹依旧存在，很多病毒喜欢躲在此文件夹中 按照下面的2个步骤，可以彻底删除System Volume Information文件夹病毒 1、在运行,输入"gpedit.msc"／（组策略）程序／ 计算机配...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值