c435d1a203c7638d8aa591fd312cd41c0329fae64433d1b3588d606bf8276730
這是在VirusTotal中的分析結果，下載後電腦會被遠端控制，目前將212.147.34.218這個ip封鎖了。
也有從cmd內用netstat -no指令去對照工作管理員的PID，刪除了一個比較可疑的client32，請問還需要刪除什麼才可以完全清除呢??謝謝!!
已邀請的邦友 {{ invite_list.length }}/5
用工具解的話可以先下載幾個工具：
(1) autoruns ，可以先看惡意程式登入的註冊檔。(畢竟每次開機都要啟動嘛
直接在上面也能 check Virus Total 的值，如果你有乾淨環境的比較，就可以針對可疑的項目做移除。
(2) wireshark，放一整天不做任何動作可以觀察有沒有大量的項目在上傳/下載，但篩選要下的很精準，所以建議用 tcp log view 去記錄電腦的連線及Port。
或可以參考這篇怎麼觀察：
https://ithelp.ithome.com.tw/articles/10197417
(3) process monitor 追蹤觀察可疑的 PID ，或是背景程序有什麼可疑的行為。
(4) process explorer 看現有執行的背景程序，但無持續執行的會比較難抓
(5) 把 windows defender 打開 ((大部份 Virus Total 的惡意程式幾乎都會刪除掉，大部份
重灌當然是最佳解啦 XDDDDD
但如果想要觀察內網有沒有汙染的話也可以試看看啦～
iThome鐵人賽
看影片追技術