病毒无处不在，最近许多网友反馈msdrvload.jpg报告为病毒，手动删除这个文件后重启计算机它还会出现，就算用文件粉碎器删除也无济于事，这个jpg文件竟然有79MB大小。
安全工程师联系了几个用户，远程连接发现注册表的HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager项里，PendingFileRenameOperations的值异常。
继续跟踪发现是通过pengding重启替换\??\C:\Program Files\Microsoft Silverlight\msdrv.jpg\??\C:\WINDOWS\wdmaud.drv，然后把C:\WINDOWS\wdmaud.drv注入到explorer里面再启动那个msdrvload.jpg扩展名的文件，这个jpg当然不是图片，只是伪装成图片的可执行程序，真正的执行文件只是很小一部分，末尾填充了大量的垃圾数据，凑到79MB大小。
msdrvload.jpg的绝对路径是c:\windows\help\mui\msdrvload.jpg。
使用procexp终止C:\WINDOWS\wdmaud.drv模块，再删除C:\WINDOWS\wdmaud.drv和c:\windows\help\mui\msdrvload.jpg，重启计算机后，问题解决。
转载请注明：IT运维空间 » 安全防护 » 图片文件竟是病毒冒充 垃圾数据凑大小
你可能喜欢:
-
解决MySql版本问题sql_mode=only_full_group_by
-
Python操作mysql数据库出现pymysql.err.ProgrammingError: (1064, “You have an error in your SQL syntax; check
-
Oracle PL/SQL如何动态调用存储过程 收藏
-
Mysql 不存在则插入,存在则更新 mysql 存在该记录则更新，不存在则插入记录的sql
-
MySQL与Oracle之间互相拷贝数据的Java程序
-
MySQL导入sql文件的三种方法小结
-
MS sql server和mysql中update多条数据的例子
-
mysql防SQL注入搜集
-
Oracle:SQL语句–给用户赋权限
-
如何在MySql中记录SQL日志（例如Sql Server Profiler)
发表评论