59、系统故障排查与行为解析案例集

系统故障排查与行为解析案例集

1. 阻止 Sysinternals 工具运行的恶意软件案例

一位朋友认为自己的系统感染了恶意软件，便请一位 Sysinternals 用户帮忙查看。该系统启动和登录时间很长，使用 Microsoft Security Essentials 进行恶意软件扫描也无法完成。用户在任务管理器中查找异常进程，但未发现明显异常。

接下来，用户尝试使用 Sysinternals 工具，如 Autoruns、Procmon、Procexp 和 RootkitRevealer，但这些工具启动后立即退出。用户还做了个实验，用记事本打开名为“Process Explorer”的文本文件，该文件也立即终止。此时，用户有足够理由相信系统已感染，但不知如何找出原因，更别说清除它了。

用户在查看 Sysinternals 套件的其他工具时，注意到了 Desktops 实用工具。之前用记事本做的实验让他推测，恶意软件可能在监控它不喜欢的程序的窗口标题。由于窗口枚举只返回与调用者在同一桌面的窗口，他猜测恶意软件作者可能没考虑到程序在非默认桌面运行的可能性。果然，运行 Desktops 并切换到第二个桌面后，他能够启动 Procmon 等工具。

操作步骤如下：
1. 运行 Desktops 工具。
2. 切换到第二个桌面。
3. 尝试启动 Procmon 等工具。

之后，用户查看 Procexp，所有进程名看起来都正常，于是他启用了“Verify Signers”选项和“Verified Signer”列，确认所有进程的主可执行映像文件似乎都有效。接着运行 Procmon，发现 Winlogon 进程有大量活动。他