图片文件竟是病毒冒充　垃圾数据凑大小

最近许多网友反馈msdrvload.jpg报告为病毒，手动删除这个文件后重启计算机它还会出现，就算用文件粉碎器删除也无济于事，这个jpg文件竟然有79MB大小。

安全工程师联系了几个用户，远程连接发现注册表的HKEY_LOCAL_MACHINESYSTEMControlSet001ControlSession Manager项里，PendingFileRenameOperations的值异常。

继续跟踪发现是通过pengding重启替换??C:Program FilesMicrosoft Silverlightmsdrv.jpg??C:WINDOWSwdmaud.drv，然后把C:WINDOWSwdmaud.drv注入到explorer里面再启动那个msdrvload.jpg扩展名的文件，这个jpg当然不是图片，只是伪装成图片的可执行程序，真正的执行文件只是很小一部分，末尾填充了大量的垃圾数据，凑到79MB大小。

msdrvload.jpg的绝对路径是c:windowshelpmuimsdrvload.jpg。

使用procexp终止C:WINDOWSwdmaud.drv模块，再删除C:WINDOWSwdmaud.drv和c:windowshelpmuimsdrvload.jpg，重启计算机后，问题解决。

未经允许不得转载：DOIT » 图片文件竟是病毒冒充　垃圾数据凑大小