8749 病毒特徵
- 生成隨機文件名，不同電腦文件不同。
- 破壞安全模式，監控註冊表鍵值，阻礙安全軟體修復。
- 清空 HOST 文件、佔用文件保護自身、修改註冊表禁用系統還原、添加 RunOnce 啟動項。
- 每 20 分鐘從 C&C 服務器下載封鎖網站列表，通過 IRP Hook 劫持 hosts 文件訪問，掛鉤 ZwLoadDriver 禁止冰刃等工具驅動加載。
金山毒霸/清理專家聯手清除流程
- 運行金山清理專家，自動檢測 8749，全選清除。
- 立即重啟，用清理專家修復被破壞的註冊表與啟動項。
- 下載並運行 AV 終結者專殺工具修復安全模式。
- 開啟系統還原（至少保護 C 盤），降低未來災難恢復成本。
技術細節摘要
- 三種方式清空 HOST 文件；文件佔用技術防刪除；修改 IE 搜尋/主頁註冊表；RunOnce 實現自啟動；清空 SafeBoot 導致安全模式藍屏；終止包含特定字串（如 360safe、毒霸、卡卡）的視窗進程；子 DLL 定時下載封鎖列表；生成同名 SYS 驅動監控服務註冊項；IRP Hook 底層保護文件；劫持 hosts 訪問重定向；阻止冰刃驅動加載。
若毒霸無法處理，請下載清理專家 2.0 協同作業。