病毒偽裝

木馬偽裝為 ATI 顯卡服務進程 ati2evxx.exe，生成文件於：

• C:\Program Files\Common Files\ati2evxx.exe
• C:\Program Files\Common Files\ATI\ati2evxx.exe

並創建註冊表服務項實現自啟動。

辨別真偽

任務管理器查看進程用戶名：

• SYSTEM 身份運行的 ati2evxx.exe 為正常 ATI 服務。
• 當前登錄用戶（如 Administrator）身份運行的 ati2evxx.exe 即為木馬。

清除步驟

1. 任務管理器結束木馬進程（用戶名非 SYSTEM 者）。
2. 刪除上述兩個病毒文件。
3. 運行 regedit 搜索 ati2evxx.exe 刪除相關服務項（注意保留正常 SYSTEM 路徑項）。
4. 若誤刪正常項，重裝 ATI 顯卡驅動即可恢復。