恶意删文件的样本提交
闸门 1：本地 payload 分片 storage.%d.dll（这就是你说的"dll"）字符串：storage.%d.dll + order.2 + downUrl / downUrl2 / downFlag。它的流程是：
首次运行 → HTTP HEAD 探 Content-Length → 按订单下载 → 写成本地 storage.0.dll / storage.1.dll / ... 分片（伪装成 dll 躲杀软）→ 拼装出真正的 Office 部署包 → 前置清理（删桌面 lnk / Program Files exe / Downloads 里的 zip）→ 部署 + KMS 激活。
第二次运行 → GetFileAttributesW / CreateFileW 检查 storage.%d.dll 是否已存在且尺寸对得上 → 跳过下载 + 跳过前置清理，直接进入"续跑/激活/上报"分支。
这是最主线的判断：因为清理逻辑本身就是"为下载和部署腾地方"的，一旦 payload 已经在本地，就没必要再清一遍。你把进程 kill 掉，storage.*.dll 已经落地，第二次它就当"我是来续跑的"。
闸门 2：注册表暗桩 title_pr / link_desktop_pr（这就是你说的"注册表"）
字符串：title_pr、link_desktop_pr、open RegQueryValueEx fail、PsTool、KeleInstallerPR、link_desktop_pr 紧挨着 PsTool。
键位置大概率在 HKCU\Software\Microsoft\Internet Settings\` 或HKCU\Software<伪装名>` 下（Internet Settings 那串是从"读系统代理/IE 配置"顺手借的路径，很多国产壳喜欢把暗桩塞在这里躲扫描）。
首次运行：RegQueryValueExW 读 link_desktop_pr → 返回失败（对应日志 open RegQueryValueEx fail）→ 走"首次清理 + 部署"分支 → 结束时 RegSetValueExW 写入 link_desktop_pr =<linkName>、title_pr =<prdName>。
第二次：读到值 → 直接进入"我跑过了"分支，跳过清理，只做 UI 展示或补装。
link_desktop_pr 这个字段名（"desktop link promotion run"）本身就说明：它记的是"我上次给你桌面创建的推广快捷方式叫什么"。如果这个值存在，它认为"这台机器已经是我推过的了"，不再重复清桌面。
闸门 3：目标已经不在了，通配符匹配空集
第一次已经把这几处的目标物理删掉了：
Desktop / Programs 下 Microsoft Office*.lnk
Program Files\Microsoft Office*\*.exe、Program Files (x86)\Microsoft Office*\*.exe
%USERPROFILE%\Downloads\*.zip / *.exe / *.lnk
%USERPROFILE%\Downloads\officeInstaller\*.zip
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\` 下相关键（RemoveMSI+Display=None）
第二次即使清理代码照常执行，FindFirstFile 通配符也匹配不到任何东西，从你视角看就是"没删"。这是最朴素的解释，也是最常见的"看起来有 first-run flag 其实没有"的假象。
闸门 4：服务端 once / cmpt / isPayed / downFlag
JSON 里那几个字段：
once —— 一次性订单标记（服务器说这单只跑一次）
cmpt / cmpt2 / cmpt4 —— 完成阶段位（下载完/清理完/激活完/上报完）
isPayed / status —— 支付/状态
downFlag —— 下载 flag
进程 kill 之前它已经把 orderId + 阶段状态回传给服务端了（MAPISendMail 或 HTTP POST），第二次运行拿 orderId 去问服务端，服务端回 once=true / cmpt=* → 客户端直接跳过清理阶段。这是渠道包最常用的"防重复归因"设计，避免同一台机器被同一订单反复计费。
附：CreateMutexW 只管进程内
命名互斥体只保证同一时刻不多开，进程死了就释放，不能解释跨启动的差异。所以你说的"关掉一次下次就不删"一定是靠上面 1/2/3/4 里的持久化状态，而不是 Mutex。
------------------------------------------
这个软件 会持续删除别人的软件，恶意竞争，完全的病毒行径，删除的是 下载目录，都无法下载到我们的程序，他常驻进程了，持续删除； 您好，没有看到您的具体文件啊，您可以直接在我们开放平台反馈一下：https://open.soft.360.cn/report.php
页:
[1]