conhosts 占用CPU

大家好，我是入错行的bug猫。（http://blog.csdn.net/qq_41399429，谢绝转载）

公司内部有台服务，只是偶尔开放一下端口而已，没想到这也中毒了！

今天撸代码，发现更新、提交代码都特别慢。上服务器打开任务管理器一看，conhosts这个进程CPU占了快80%！此处有妖气！

---

服务器上只安装了一个虚拟机、svn、git服务端，这个在C:\Windows\Fonts文件夹下载的进程，怎么看都很可疑！

于是试着杀掉进程看看 (づ｡◕‿‿◕｡)づ

服务器宕机中…………

才怪！

conhosts进程结束了，the end！

不可能！

conhosts进程马上又重启恢复了，依旧是CPU飙到80%！

看样子有守护进程重启线程了，再杀！

还重启！ᕦ( ⊙ ∧ ⊙ )ᕤ

下载某安全卫士、某杀毒软件，里里外外扫个透，漏洞补丁扫了不少出来，但是未发现任何病毒！
喂喂，那个conhosts进程飙到80%，怎么杀都杀不掉的进程不是很可疑吗？
难道不是病毒吗？这是骗谁啊？！ (╯‵□′)╯︵┻━┻

---

进入C:\Windows\Fonts文件夹，按修改时间排序。在最近时间里有几个非字体文件，被修改的文件，果断删除了。
有几个exe删除不了，报程序正在被占用。使用安全卫士强制解除占用，然后粉碎之，再杀掉conhosts进程！
还是重启了！（╯°□°）╯

貌似删错文件了 (⊙ᗜ⊙)，不管了，放在Fonts文件夹中，不是字体文件就是病毒……

---

病毒应该是被隐藏起来了。修改文件夹选项，显示隐藏的文件、文件夹和驱动器

Fonts文件夹中也没有奇怪的文件。准备收手，请大师的时候，突然发现，C盘中竟然没有一个隐藏文件夹！！这太可疑了！！
简直就像在说此地无银三百两，这太可疑了！！

如是又重新设置了一下文件夹选项，还是没有显示隐藏文件夹！
做个实验：新建一个文件夹，隐藏——

不见了，文件夹被正确隐藏，但是无法查看被隐藏的文件！

天啦噜！

---

百度conhosts进程病毒，没什么卯月。
百度查询无法查看隐藏文件夹、包括手动修改注册表，都统统无效。
手动修改注册表，马上又还原了，估计病毒会实时检测和修改，就是不让你看见隐藏文件。
就是不让看 ᕙ( * •̀ ᗜ •́ * )ᕗ

---

准备撸个代码查看所有文件的是否，突然想起了，服务器好像安装了git Bash！
一般安装了git客户端，都会自带git Bash。它可以模拟linux，执行sheel脚本指令，没有安装的同学赶紧安装一个

果断启动，执行一下 cd c:、ll指令，好使！可以看到隐藏文件了！

图中被隐藏的两个文件夹，都出现了。直奔C:\Windows\Fonts目录


过滤掉字体文件，出现了若干个可疑文件：

最后修改日期，都是12月16号。这没得商量了，都删了删了！



然后再杀掉 conhosts 进程！！

就这样好了 (´⊙ω⊙`)！


C盘隐藏的文件，等服务器重启一下就好了。

就这样好了，这个病毒是来搞笑的吧……

~THE END~

于是，至今我们仍未知道12月16号感染服务器的病毒的名字