病毒檔案與落地位置

檔案	路徑	角色	偵測名
linkinfo.dll	%Windir%\linkinfo.dll	主惡意模組 (DLL)	Win32/Almanahe!generic
nvmini.sys	%System%\drivers\nvmini.sys	Rootkit 驅動，隱藏檔案/註冊鍵/進程	Win32/Almanahe!generic
IsDrv118.sys	%System%\drivers\IsDrv118.sys	輔助驅動 (可能為合法驅動被濫用)	—

感染與持久化機制

1. 執行感染檔 → 釋放上述三檔。
2. linkinfo.dll 透過 AppInit_DLLs 或 CreateRemoteThread 注入 explorer.exe，取得 SYSTEM 權限。
3. 建立服務 nvmini (顯示名稱偽裝為「NVIDIA Compatible Windows Miniport Driver」)，載入 nvmini.sys 實現 Kernel Mode 隱藏。
4. 生成 Mutex 確保單實例運行。

傳播向量

• 檔案感染：掃描本地/遠端/可移動磁碟，感染 *.exe (排除 Windows、WinNT、Temp 目錄)。
• 弱口令橫向移動：嘗試常見管理員弱密碼 (空密碼、123456、admin 等) 透過 IPC$ / ADMIN$ 複製 c:\setup.exe 並建立服務執行。

破壞行為

終止安全軟體/系統關鍵進程 (部分列表)

c0nime.exe cmdbcs.exe ctmontv.exe explorer.exe fuckjacks.exe iexpl0re.exe
iexplore.exe internat.exe logo1_.exe logo_1.exe lsass.exe lying.exe
msdccrt.exe msvce32.exe ncscv32.exe nvscv32.exe realschd.exe rpcs.exe
run1132.exe rundl132.exe smss.exe spo0lsv.exe spoclsv.exe ssopure.exe
svch0st.exe svhost32.exe sxs.exe sysbmw.exe sysload3.exe tempicon.exe
upxdnd.exe wdfmgr32.exe wsvbs.exe

注：列表包含偽裝系統進程名 (如 svch0st.exe、spo0lsv.exe)，亦包含真實系統進程 (lsass.exe、smss.exe、explorer.exe)，終止後者會導致系統不穩或藍屏。

C2 通訊與下載執行

• 劫持預設瀏覽器進程，注入代碼連向 sb941.com 上傳系統資訊、下載任意檔案執行 (二階段載荷)。
• 流量特徵：HTTP POST 含系統指紋、User-Agent 偽裝、可能使用加密/編碼。

手工清除完整流程 (安全模式 + 專業工具)

1. 進入安全模式： 重開機連按 F8 / Shift+重新啟動 → 疑難排解 → 進階選項 → 啟動設定 → 4/安全模式。
2. 解除檔案鎖定並刪除： 推薦 XDelBox (或 PendMove/MoveFile 排程重開機刪除)。
   路徑清單：
   c:\windows\system32\run.exe (若存在)
   c:\windows\system32\drivers\eth8023.sys
c:\windows\system32\drivers\nvmini.sys
c:\windows\system32\drivers\IsDrv118.sys
c:\windows\linkinfo.dll
3. 清除註冊表持久化 (SREng / Autoruns / 手動)：
   啟動項：HKLM\...\Run\Run.exe /R → 刪除
   服務/驅動：
   eth8023 → \SystemRoot\system32\drivers\eth8023.sys
cdralw (NVIDIA 偽裝) → system32\DRIVERS\nvmini.sys
genfs → 刪除
4. 修復系統檔案： 管理員 CMD → sfc /scannow、dism /online /cleanup-image /restorehealth。
5. 全盤掃毒： 更新病毒碼至最新，完整掃描 (含壓縮檔、掃描 MBR/VBR)。
6. 修改所有帳號密碼： 含本地 Administrator、域帳號、資料庫、Web 後台、FTP、VPN 等。

指標 (IOC) 彙總

• 檔案雜湊 (MD5/SHA256) — 需自行提交 VirusTotal/威脅情報平台比對。
• 網路指標：sb941.com、C2 IP 範圍。
• Mutex 名稱 (若已知)。
• 註冊表鍵值路徑與值名。

防護建議

1. 啟用 受控資料夾存取 (Windows Defender) / 防勒索保護 (第三方)，阻擋未授權程式寫入系統目錄。
2. 部署 EDR 監控 CreateRemoteThread、LoadDriver、ServiceInstall 等敏感 API 呼叫鏈。
3. 網路層封鎖已知惡意域名/IP，啟用 DNS 防火牆 (RPZ)。
4. 強制密碼策略 + 帳號鎖定閾值，杜絕弱口令橫向移動。
5. 定期離線備份關鍵資料，驗證可還原性。