yewzycb.dll pchxcfye.sys 病毒文件

360检测出两个可疑文件

c:/windows/system32/yewzycb.dll

c:/windows/system32/drivers/pchxcfye.sys

 

但是自动清除失败。删除两个文件失败，应该是正在被访问，无法删除。注册表中相关项删除失败，应该是这个dll文件进行了rootkit保护。

用procmon发现，有三个进程加载了yewzycb.dll，分别是winlogon.exe explorer.exe svchost.exe

修改的注册表项：

 

用了winlogon注入：“Winlogon通知包(Winlogon Notification Package)”就是处理winlogon在切换状态时发出的事件的DLL。

在系统登录时，加载这个dll，所以安全模式下也会被加载。

HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/Notify/fednvvbu/DLLName

yewzycb.dll

 

HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Services/midlveai

ImagePath %SystemRoot%/System32/svchost.exe -k netsvcs

描述信息 Monitor for NDIS System

NDIS System Monitor

HKEY_LOCAL_MACHINE/SYSTEM/ControlSet/Services/pchxcfye

ImagePath system32/drivers/pchxcfye.sys

另外，系统中还有一个c:/windows/system32/onnsyzlh.dll，不知道跟上面是否相关。