win11 监控桌面的木马

更新时间：2024-07-06 11:50:29作者：yang

　　Win11操作系统的发布引起了广泛关注，然而随之而来的安全威胁也不容忽视，有报道称Win11桌面可能受到木马病毒的监控，甚至可能被黑客劫持浏览器主页。面对这一情况，我们应该如何找出并清除这些潜在的安全隐患呢？本文将探讨Win11被黑客劫持的可能原因，并提供一些有效的应对方法。愿我们共同努力，保护个人信息安全，维护网络环境的健康稳定。

　　使用Process Monitor找出创建快捷方式的进程

　　该问题的主要表现是浏览器打开后被劫持到其他的网页，因此我们先要找到被劫持的原因。在桌面上右击该快捷方式并依次选择“属性→快捷方式”，在“目标”框中可以看到在浏览器程序之后被添加了“http://hao.ttmmt.com/？v=1030”参数，正是这个参数对浏览器进行了劫持（图1）。

　　接下来我们再分析快捷方式为什么会“再生”。因为上述的快捷方式在每次删除后都会被自动恢复，所以显然在后台有个特定的进程在重新生成这个快捷方式。切换到图1所示界面中的“常规”选项卡，看到快捷方式的位置是“C:UsersPublicDesktop”。即后台进程每次创建的快捷方式是“C:UsersPublicDesktopMicrosoft Edge.lnk”。

　　那么到底是哪个后台进程在创建快捷方式？后我们可以使用Process Monitor（https://docs.microsoft.com/zh-cn/sysinternals/downloads/procmon）进行监控。启动该软件后点击菜单栏中的“Filter”，并勾选“Drop Filtered Events”，再点击“Filter…”（图2）。

　　随后，在打开的窗口中去除所有进程前的监控勾选。在“Display entries matching these condtions”下依次选择“Path”和“is”，在其后的文本框中输入“C:UsersPublicDesktopMicrosoft Edge.lnk”，即监控指定路径下文件的创建事件，用来查看创建上述快捷方式的进程（图3）。

　　现在返回到桌面，按提示先删除该快捷方式，在快捷方式重新出现后返回Process Monitor窗口，可以看到一个名为“scrcons.exe”的进程创建了上述的快捷方式，而且根据生成时间的提示，该进程每隔1个小时就会再次执行创建操作，正是“scrcons.exe”进程的存在才导致快捷方式不断地复活（图4）。

　　继续在图4所示的窗口中选择“scrcons.exe”进程，右击并选择“属性”，在打开的窗口中切换到“process”选项，可以看到该进程对应“C:WindowsSystem32wbemscrcons.exe”。按提示在资源管理器中找到该文件后右击并选择“属性”，在“详细信息”选项卡下，可以看到这其实是一个系统文件，经过查询微软文档帮助，便可以知道它的主要作用是运行WMI脚本（图5）。

　　使用WMI Tools找出后台运行的WMI脚本

　　通过上述的方法我们知道了“scrcons.exe”进程并不是病毒文件，那么它为何会不断地创建上述的快捷方式呢？结合“scrcons.exe”文件作用的描述，现在可以基本判定本次问题很可能是一个WMI脚本劫持所导致的。对于WMI脚本的查看可以通过WMI Tools（https://m.adremsoft.com/netcrunch.tools/wmi-tools/）来实现。

　　完成WMI Tools的安装后以管理员身份启动“WMI Event Viewer”，在程序窗口中点击第一个笔形图标打开“WMI Event Registration Editor”窗口，在弹出的“Connect to namespace”框中下拉并选择“rootCIMV2”，点击“OK”（图6）。

　　继续在打开的窗口中展开“_EventFiter”，在右侧的窗格中可以看到本机正在运行一个名为“VBScriptLKKids_consumer”的活动脚本（图7）。

　　现在按提示双击该脚本打开其属性窗口，在“Script Text”选项的“Value”项下可以看到运行的脚本代码。代码的内容较多，可以全选复制，然后粘贴到记事本新建的文档中查看。在代码中可以看到“http://hao.ttmmt.com/？v=1030”（它和图1显示的劫持参数是一致的），并且很多常见的浏览器都会中招。正是这段代码创建了快捷方式，并在浏览器后添加劫持参数，它通过“scrcons.exe”在后台定时加载该脚本，这也正是快捷方式被删除后会不断“复活”的真正原因（图8）。