现在AI的发展真的很快，基本每周都有新的AI模型发布，智能体也今非昔比。大家都开始用AI来写代码，解决问题，Stack Overflow人少了，图画平面设计被取代，因为AI的爬取，技术站的有效访问量下降……因为不干开发，加上大部分问题都可以让AI解决，也很少发博客来记录了。最近，因为在外面，被朋友推荐使用智能体WorkBuddy，第一次使用是在8月12号，并没有太深入，依旧坚持使用网页版，半手搓，后面才渐渐开始依赖。记录一次和病毒的攻防，源于我的粗心

现在AI的发展真的很快，基本每周都有新的AI模型发布，智能体也今非昔比。大家都开始用AI来写代码，解决问题，Stack Overflow人少了，图画平面设计被取代，因为AI的爬取，技术站的有效访问量下降……因为不干开发，加上大部分问题都可以让AI解决，也很少发博客来记录了。最近，因为在外面，被朋友推荐使用智能体WorkBuddy，第一次使用是在8月12号，并没有太深入，依旧坚持使用网页版，半手搓，后面才渐渐开始依赖。记录一次和病毒的攻防，源于我的粗心

起因

白天发现系统日志缺失了0点以后的操作，当时测试的时候存在，因为晚上导出过，后来因为测试没有全部完成就又把下载的日志删除了。为了复原，于是用AI进行复原，提示我用可行的途径是磁盘级扫描恢复（用免费的 PhotoRec 工具扫描 C 盘被删除但尚未覆盖的数据块）。

因为一直下载失败，就想着自己手动下载，于是用必应进行搜索，直接下载了第一个网站（中文仿冒站，唯一官方站是cgsecurity.org）的压缩包。

在没有怀疑的情况下，直接运行了压缩包里的文件。系统弹窗，确认运行，然后继续弹窗，这是已经感觉有点不对了，就点了取消。但是一直弹窗，任务管理器也无法调出，于是点了是，然后恢复正常，但是没有任何安装的痕迹。开始以为安装失败，就没有在意，然后发现华为电脑管家自带文件恢复工具，但是依旧无法复原。后续发现下载链接还能用，可以重新下载，至此，文件找回，但是，病毒已经扎根在电脑中。

事后证明，就是因为这个文件导致电脑中毒，并且网站压缩包的版本号一直在变。

应对

后续工作中发现电脑风扇转速异常，打开任务管理器发现两个名字随机的异常进程。

切断网络，结束进程后依旧会自己重启进程。启动项中也发现两个新加的启动项，指定文件夹位置不可见，勾选隐藏文件后依旧不显示，基本判定为属性带系统文件。有一个文件还好，文件夹能够发现，因为没有装其他杀毒软件，于是用Windows Defender的防病毒脱机版进行扫描。

事后软件恢复后事后查看日志缺是排除了一些，但是不全。

当时只成功排除一个，启动项中依旧残留一个。

此时，Windows Defender已经无法正常开启了。于是手动添加文件目录权限，物理删除启动项对应的文件夹。

但是进程中依旧存在随机名字进程，打开文件所在位置基本都是不可见，可见的有些数字签名为腾讯。这是想既然自带不好使，就装个360杀毒试试，结果安装完成提示“损坏的映像”，打开时提示“你的组织使用适用于企业的应用控制阻止此应用”。

至此，杀毒软件也被堵死，看来病毒针对杀毒软件进行了限制（WDAC 应用控制策略）。

于是想起了智能体，于是把任务抛给了智能体。

后续权限从“默认权限”改为允许完全访问并以管理员权限重新启动WorkBuddy，然后智能体大胜利！


然后360杀毒就能进入了，进行快速扫描，扫除关键位置病毒。然后再进行全盘扫描，彻底清除剩余病毒。

最后举报一波网站，微软不安全网站报告

工信部 12321 举报中心

最后看看智能体给的报告，看来以后病毒还要防御智能体了（笑）

电脑病毒清除与 Windows Defender 修复报告

• 处理日期：2026-08-31（下午 14:53 – 16:00）
• 处理对象：个人电脑（Windows 11，用户 00RAISER）
• 最终结论：✅ 成功清除 2 个恶意程序（含远控后门）、4 类持久化机制、1 条恶意系统策略、5 个被污染的 Defender 排除项；Windows Defender 已完全恢复实时保护

一、事件概述

1.1 用户报告的症状

• 电脑疑似中毒
• Windows “病毒和威胁防护”右键菜单消失
• 安全相关服务无法启动
• 用户已手动清除一个病毒，启动项中残留另一个

1.2 处置结论（一句话）

病毒通过”白加黑”（盗用合法签名）+ 随机目录名 + 伪装系统名部署了两套恶意程序，并写入恶意 WDAC 策略和 Defender 排除项锁死杀毒软件；本次已全部清除，Defender 恢复运行。

二、恶意程序详情

2.1 恶意程序 1：C:\Users\Public\IEC4eK\（白加黑主程序）

2.2 恶意程序 2：C:\ProgramData\ZD3f8wk1\yIgaJZfC.exe（远控后门）

2.3 其他恶意痕迹

• C:\Windows\Temp\ranchserv.jpg：伪装成图片的可执行载荷，13:47 被 System 进程尝试加载（Code Integrity 审计记录），重启后已不存在
• Defender 排除项污染：检测到工具型病毒 VirTool:PowerShell/ExcludeProc.A，病毒通过 PowerShell 将 5 个路径写入 Defender 排除列表（详见 3.3）

三、根因分析：为什么 Defender 会”罢工”

3.1 直接证据

服务启动失败的事件日志反复出现：

1
2

Microsoft Defender 防病毒服务 服务启动失败:
应用程序控制策略已阻止此文件。

3.2 恶意 WDAC 策略（核心原因）

通过 CiTool.exe -lp 定位到一条强制执行的 WDAC 应用控制策略：

该策略导致：所有第三方杀毒软件无法安装/运行，同时 Defender 引擎本身也被其严苛的签名级别要求（Custom 3 / Antimalware）拦截 → 电脑完全失去防护，病毒得以潜伏。

3.3 Defender 排除项污染（次因）

病毒将以下 5 个路径写入 Defender 排除列表，使 Defender 对病毒文件”视而不见”：

四、处理过程

4.1 处置时间线

4.2 关键操作命令

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

# 删除恶意 WDAC 策略（Defender 恢复的关键一步）
CiTool.exe -rp a244370e-44c9-4c06-b551-f6016e563076

# 清除被污染的 Defender 排除项
Remove-MpPreference -ExclusionPath @(
  "C:\Users\Public\IEC4eK",
  "C:\Users",
  "C:\ProgramData",
  "C:\Program Files (x86)",
  "C:\Users\00RAISER\Documents"
)

# 更新病毒库 + 快速扫描
Update-MpSignature
Start-MpScan -ScanType QuickScan

五、最终状态

5.1 安全服务状态（全部恢复正常）

5.2 Defender 防护能力

5.3 扫描结果

• 快速扫描完成（15:34），无活跃威胁
• 历史记录 4 条 PUA 均不活跃（IsActive: False），为过往软件捆绑残留

六、处置清单汇总

七、后续建议

1. 重启电脑，打开”Windows 安全中心”确认”病毒和威胁防护”页面正常显示（右键菜单应已回归）
2. 执行一次完整扫描：Windows 安全中心 → 病毒和威胁防护 → 扫描选项 → 完全扫描（约 1-2 小时，建议挂机）
3. 修改关键密码：该木马有 C2 外联（27.124.34.221:8160），存在凭据被窃风险，建议尽快修改微软账户、邮箱、网银等密码
4. 确认残留组件：C:\Users\00RAISER\AppData\Local\Temp\doubao_ext\shellext.dll（explorer 加载的豆包浏览器 shell 扩展，若不再使用豆包建议删除整个 doubao_ext 目录）
5. 防复发：
   • 保持 Windows 更新及时
   • 不安装来源不明的软件，警惕伪装成知名软件/系统组件的安装包
   • 如需为某正版软件放行 WDAC 策略，使用”补充策略”方式（见附录），不要直接改主策略

八、附录：关键参考

8.1 诊断过程产物（工作区文件）

diag*.txt（多轮诊断输出）、clean_result.txt、final_clean*.txt、policy_diag*.txt、sig_diag.txt、citool*.txt、exclusion_*.txt、scan_*.txt、clean_virus_admin.ps1（管理员清理脚本）

8.2 主要诊断思路（可复用于类似场景）

1. 症状 → 检查安全服务状态（Get-Service）与注册表启动项
2. 排查计划任务（注意管理员权限才能看到被隐藏/伪装的系统任务）
3. 服务启动失败报”应用程序控制策略已阻止此文件” → 定位 WDAC 策略（CiTool -lp）→ 确认恶意策略后 CiTool -rp <ID> 删除
4. 检查 Defender 排除项（Get-MpPreference）是否被病毒污染
5. 更新病毒库 → 快速扫描 → 建议完整扫描