"Synaptics.exe - 损坏的图像"问题分析By:Bluefish

2020-8-19 19:16| 发布者: 不离不弃| 查看: 10444| 评论: 0|原作者: 无名小卒

摘要: 【问题原因】系统感染了 Synaptics 蠕虫病毒，存在于：“C:\ProgramData\Synaptics\Synaptics.exe”，文件夹为系统隐藏文件夹。【感染原理】 Synaptics.exe 蠕虫运行后会全盘遍历exe文件，然后复制一份自身Synaptics.exe到临时目录，随机名称，把遍历到的原始exe写到RCdata的“EXERESX”资源里面，再把修改后的exe替换到原始位置。【报错原因】 Synaptics.exe 蠕虫在对非标准格式PE文件做处

【问题原因】
系统感染了 Synaptics 蠕虫病毒，存在于：“C:\ProgramData\Synaptics\Synaptics.exe”，文件夹为系统隐藏文件夹。

【感染原理】
Synaptics.exe 蠕虫运行后会全盘遍历exe文件，然后复制一份自身Synaptics.exe到临时目录，随机名称，把遍历到的原始exe写到RCdata的“EXERESX”资源里面，再把修改后的exe替换到原始位置。

【报错原因】
Synaptics.exe 蠕虫在对非标准格式PE文件做处理时，触发了Windows系统的文件检测机制，也就是说只要这个Synaptics.exe蠕虫遍历和处理到后缀名称为exe但是实际上不是真正的exe文件时，就会报这个错误。

【解决办法】
随机出现，由于客户机上没有遇到有安装可以追踪完整进程树的工具，暂时无法知道来源。
临时解决办法是禁用 Synaptics.exe 这个进程，无盘软件自带的安全中心功能也有效。
建议出现这个问题的网吧排查下服务器，客户机开机通道、启动项、镜像还原点。
本文地址：http://www.clxp.net.cn/thread-19649-1-1.html 转载请注明出处！
本文作者(Bluefish)，博客：https://www.cnblogs.com/radmin/
蠕虫样本： Synaptics蠕虫样本 https://n459.com/file/1259131-458121410
解压密码：Bluefish
样本用于专业人士分析，解压后请勿运行样本exe，以免造成全盘感染。