1、病毒現象
（1）、文件特征
C:\Windows\SysWOW64\下存在svhost.exe、C:\Windows\SysWOW64\driver目錄下存在svchost.exe taskmgr.exe(進程管理器)、temp目錄下存在svchost.exe,且存在所有的利用工具包含m.ps1、mkatz.ini(mimikatz)、temp.vbs
（2）、計划任務存在Bluetooths、DnsScan
（3）、進程項存在svchost.exe(屬性查看來源於temp)、taskmgr.exe(查看屬性來源於C:\Windows\SysWOW64\driver)
2、病毒處置
（1）、存在”驅動人生”軟件用戶手工更新版本或卸載軟件
（2）、修復”永恆之藍”的漏洞，補丁下載。
（3）、若不使用共享服務，關閉相關共享端口(135、137、138、139、445)及不必要的端口。
（4）、刪除任務計划DnsScan、WebServers、Ddrivers和Bluetooths、Certificate、Credentials。
（5）、刪除C:\Windows\SysWOW64\下的svhost.exe，刪除C:\Windows\SysWOW64\driver目錄下存在svchost.exe、taskmgr.exe，刪除temp目錄下面的m.ps1、mkatz.ini(mimikatz)、tmp.vbs、svchost.exe
（6）、服務器密碼修改為八位及其以上含大小字母特殊字符，切勿使用弱口令
（7）、再次全盤查殺，確保確實病毒已經處理
3、補充(針對新老版本）
惡意文件可能存在的地方
c:\windows\system32\svhost.exe
c:\windows\system32\drivers\svchost.exe
c:\windows\system32\drivers\taskmgr.exe
c:\windows\system32\wmiex.exe
c:\windows\sysWOW64\svhost.exe
c:\windows\sysWOW64\drivers\svchost.exe
c:\windows\sysWOW64\drivers\taskmgr.exe
c:\windows\sysWOW64\wmiex.exe
c:\windows\temp\svchost.exe
c:\windows\temp\mkatz.ini
c:\windows\temp\m.ps1
C:\windows\temp\ttt.exe
%appdata%\Microsoft\cred.ps1
C:\windows\temp\tmp.vbs
%appdata%\Microsoft\Windows\Start Menu\Programs\Startup\run.bat
可能存在的惡意進程
c:\windows\system32\svhost.exe
c:\windows\system32\drivers\svchost.exe
c:\windows\system32\drivers\taskmgr.exe
c:\windows\system32\wmiex.exe
c:\windows\sysWOW64\svhost.exe
c:\windows\sysWOW64\drivers\svchost.exe
c:\windows\sysWOW64\drivers\taskmgr.exe
c:\windows\sysWOW64\wmiex.exe
c:\windows\temp\svchost.exe
C:\windows\temp\ttt.exe
注冊表
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run->Ddriver
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run->WebServers
4、病毒詳情
https://guanjia.qq.com/news/n3/2475.html