腾讯视频/爱奇艺/优酷/外卖 充值4折起
ati2evxx - ati2evxx.exe - 进程信息
进程文件： ati2evxx 或者 ati2evxx.exe
进程名称： ati external event utility exe module
描述：
ati2evxx.exe是ati显示卡增强工具。它用于管理ati hotkey特性。
正常路径是：c:/windows/system32/ati2evxx.exe
正常情况下可能有两个ati2evxx进程，这是因为开了显卡加速的原因。
如果为ati2evxx 则为木马。其他的文件夹也应该是木马
出品者： ati technologies inc.
属于： ati display drivers
系统进程： 否
后台程序： 是
使用网络： 否
硬件相关： 是
常见错误： 未知n/a
内存使用： 未知n/a
安全等级 (0-5): 0
间谍软件： 否
广告软件： 否
病毒： 否
木马： 否
最近电脑突然卡，发现进程了多了很多个ati2evxx.exe
感觉不对，马上用在线杀毒http://www.antidu.cn/board/online/ 查杀
果然，瑞星报毒！！！
行为分析：
本地行为：
1、文件运行后会释放以下文件：
%driverletter%/ntldr.exe 19,124字节
%driverletter%/autorun.inf 85字节
%windir%/fonts/system/ati2evxx.exe19,124字节
2、感染本地除系统文件夹以外的exe文件：
在exe文件的尾部添加名为.ani一个节，改变文件的大小，
以下为添加到新节的代码：
3、新增注册表：
添加注册表启动项，实现自启动
[hkey_local_machine/software/microsoft/windows/currentversion/run]
注册表值："tbmonex"
类型： reg_sz
字符串："%windir%/fonts/system/ati2evxx.exe"
描述：添加自启动
添加注册表对安全软件映像劫持
清除方案：
(1)右击任务栏打开任务管理器，结束ati2evxx.exe进程。
注意：如果你的显卡是ati的，用户名是system的ati2evxx.exe进程是正常的，而你登入的用户名或是administrator的ati2evxx.exe进程才是木马进程。
(2)删除病毒文件：
c:/program files/common files/ati2evxx.exe
c:/program files/common files/ati/ati2evxx.exe[1]
%driverletter%/ntldr.exe
%driverletter%/ntldr.exe
%windir%/fonts/system/ati2evxx.exe
%temporary internet files%/00001[1].exe
%temporary internet files%/00002[1].exe
%temporary internet files%/000031].exe
%temporary internet files%/00004[1].exe
%temporary internet files%/00005[1].exe
%temporary internet files%/00006[1].exe
%temporary internet files%/00007[1].exe
%temporary internet files%/00008[1].exe
%temporary internet files%/00009[1].exe
%temporary internet files%/00010[1].exe
%temporary internet files%/00011[1].exe
%temporary internet files%/00012[1].exe
%temporary internet files%/00013[1].exe
%temporary internet files%/00015[1].exe
%temporary internet files%/00016[1].exe
%temporary internet files%/00017[1].exe
%temporary internet files%/00023[1].exe
%temporary internet files%/host[1].exe
%temporary internet files%/wdlm[1].exe
%temporary internet files%/soundma[1].exe
%temporary internet files%/lmmy[1].exe
%temporary internet files%/lmmh[1].exe
(3)恢复病毒修改的注册表项目，删除病毒添加的注册表项：
[hkey_local_machine/software/microsoft
/windows/currentversion/run]
注册表值："tbmonex"
类型： reg_sz
字符串："%windir%/fonts/system/ati2evxx.exe"
描述：添加自启动