中毒求救

【求排查】疑似银狐变种：WMI 持久化 + Session 0 假 explorer + WinRing0 驱动，火绒/360 清不干净

一、系统环境
- Windows 10 家庭中文版 22H2（19045），x64
- 已安装：火绒安全 6.0.12.2、360 安全卫士 / 360 系统急救箱
- 当前账户在 Administrators 组，UAC 正常
- 未开 BitLocker

二、主要现象
1. 任务管理器里看不到异常进程，但 CPU 长期被占用，风扇持续高转。
2. 存在一个 Session 0（服务会话）里的 explorer.exe，SYSTEM 权限，路径读不到；结束它必蓝屏 0xEF。
3. 该进程持续外连 78.40.198.61:31270（荷兰阿姆斯特丹 VPS）。
4. 每次开机约 4 分钟，该进程自动重新出现；删掉服务和文件也没用。
5. 今天出现 3 次蓝屏，停止代码都是 0x000000EF（CRITICAL_PROCESS_DIED）：7:58、9:33、13:13。
6. C:\Windows\ 根目录会出现 11 位随机名 .sys 驱动（本次为 dgqolxjqbftm.sys），装完自删，事件日志 7045 有记录。

三、火绒日志（2026-10-20 08:01:34）
- 类别：病毒防护 / 内存防护
- 病毒名称：HackTool/CoinMiner.ab
- 病毒 ID：9CBE793C11B80789
- 操作进程：C:\Windows\explorer.exe（PID 8544）
- 虚拟地址：0x0000000004000000
- 映像大小：8.1 MB
- 是否完整映像：否
- 数据流哈希：e6bb643f
- 操作结果：处理失败（同秒两条记录）

四、已确认的持久化
1) WMI 永久事件订阅（root\subscription），删了服务也会复活：

   __EventFilter  NRP：
   SELECT * FROM __InstanceModificationEvent WITHIN 70
   WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'
   AND TargetInstance.SystemUpTime >= 240 AND TargetInstance.SystemUpTime < 300

   __EventFilter  NOC：
   ... SystemUpTime >= 310 AND SystemUpTime < 370

   __EventFilter  LUN：
   SELECT * FROM __InstanceModificationEvent WITHIN 180 ...

   CommandLineEventConsumer：
   NRP → \\?\C:\ProgramData\prndata..\prn.exe \\?\C:\ProgramData\prndata..\prn
   NOC → \\?\C:\ProgramData\condata..\con.exe \\?\C:\ProgramData\condata..\con
   LUN → \\?\C:\ProgramData\nuldata..\nul.exe \\?\C:\ProgramData\nuldata..\nul

2) 服务（均 LocalSystem，自动启动）：
   - OneSyncTask  → \\?\C:\ProgramData\prndata..\prn.exe
   - PcaSvcTask   → \\?\C:\ProgramData\condata..\con.exe
   - WireGuar（显示名 WireGuar Service，比 WireGuard 少个 d）：
     cmd.exe /c "...\UnRAR.exe x -y -p741258963 ...\wireguar.rar * ...\ && ...\Wire.exe ...\wintun.dll"
     即用硬编码密码解压带密码的 RAR，再拉起 WireGuard 隧道（Wire.exe + wintun.dll）
   - WinRing0_1_2_0 → C:\WINDOWS\dgqolxjqbftm.sys（随机名，反复重装）

3) 目录伪装：
   C:\ProgramData\prndata..\、condata..\、nuldata..\（结尾两个点，需 \\?\ 前缀才能访问）

五、IOC

文件与哈希（SHA256）：
- 加载器 ×3（同一文件，1,107,552 字节，版本信息 "AutoIt v3 Script"）：
  5D69A932A077FEE044B193C28E84564143F5C7E51079AB48E88FEF74AB0B77B7
- prn（4,684,584 字节）：9BE45A2C582AC74AC1AD5AA7C2F92FD924C991E297B7F82BE6F6EDF2E5BBBAEA
- con（947,496 字节）：CA1A79142BBB7B3A8A55E93FB43D88AB65C8846CCABA643220214B5DD7DC80D0
- nul（698,264 字节，版本信息冒充 Mullvad VPN firewall module）：
  AEDE12C9E97ED39448B186FABFFA40620703CE4153F345C3995041486A27BF6B
- nuldata..\ShellExperienceHost.exe（322,256 字节，签名有效，签名者 Insecure.Com LLC，实为 Nmap 改名）：
  88119BE028596AE376318A37D8BAA146D7B2F7A97AE3ACAC4A73DB3ABEAEA866

投放源（已确认）：
- MacroRecorder.msi（未签名，15,380,480 字节）
  SHA256：EA9A6FC5B922A0D573D91935A98C0FE4874FCFD89236D2749533046200A4ADAF
  ProductCode：{C71936CC-CD50-4EF0-B9BC-5114296293B1}
  MSI 的 Property 表直接写着：
  - WixExc：sc create WireGuar ...（创建隧道服务）
  - SERVIC：sc sdset "WireGuar" "D:(D;;...;;;IU)(D;;...;;;BA)"（禁止交互用户/管理员删除）
  - LOGWEB：shutdown.exe /r /f /t 1800（安装后 30 分钟强制重启）
  - ARPSYSTEMCOMPONENT=1（从"程序和功能"隐藏）
  File 表只有 UnRAR.exe 和 wireguar.rar，没有任何正常程序文件。

网络：
- 78.40.198.61:31270（Established）
- 反查：v999410.hosted-by-vdsina.com，AS216071 SERVERS TECH FZCO，NL

六、时间线
- 2026-09-13 20:05:57 下载 MacroRecorder.msi
- 2026-09-13 20:07:05 安装，同一秒创建 WireGuar 服务；事件 1074 记录 shutdown /r /t 1800
- 2026-09-13 20:52:32 重启
- 2026-09-13 20:52:55 重启后 23 秒，三个伪装目录与加载器落地
- 09-15 / 09-17 / 09-18 / 09-24 / 10-12 / 10-13 / 10-19 / 10-20：驱动与隧道服务反复重建（7045 有记录）
- 2026-10-20 08:01:34 火绒内存防护命中，处理失败
- 2026-10-20 08:02:36 假 explorer 以新 PID 启动；08:06:36 驱动再次安装
- 2026-10-20 13:13 再次 0xEF 蓝屏

七、已经试过
1. 火绒内存防护：命中但"处理失败"。
2. 360 系统急救箱：删掉了 5 个服务键和驱动文件，但三个目录仍在，WMI 订阅仍在；重启后假 explorer 4 分钟内重新出现。
3. 尝试用脚本删 WMI 订阅 + 删目录：执行到结束假 explorer 进程时触发 0xEF 蓝屏，未完成。
4. 用 Autoruns/火绒剑查过：启动项、计划任务、Run 键、AppInit_DLLs、Winlogon 均未发现异常，持久化只在 WMI + 服务 + 驱动。

八、想请教
1. 这个变种是不是银狐（Silver Fox / Winos）？有没有对应的专杀或特征库已经覆盖？
2. 假 explorer 被杀就 0xEF，是不是被 RtlSetProcessIsCritical 标记了？有没有不触发蓝屏的清除顺序？
3. WMI 订阅用 Remove-CimInstance 删不干净，是否必须离线删 Repository？删了之后有哪些副作用？
4. 360 急救箱在这个环境下反复蓝屏，有没有更稳的处理方式（PE / 安全模式 / 特定版本）？
5. 如果只能重装，除了格式化系统盘，还需要处理 D 盘或其他分区吗（样本目前只在 C:\ProgramData 和 C:\Windows）？

样本未外传，需要的话可以提供文件路径和哈希，或按指引打包上传。

您好，您加下我的微信吧，我看下问题现场