【小白求助】有大佬知道如图所示是不是电脑中后门了？

alinwei · 发表于 2024-8-20 09:00

如图所示，电脑安装的火绒总是莫名其妙弹出这种提示，用火绒全盘扫描并没有提示有病毒，有大佬看得懂吗？感谢

防护项目：隐藏执行PowerShell
执行文件：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
执行命令行："powershell.exe" -ExecutionPolicy Bypass -WindowStyle Hidden -NoProfile -enc UwBlAHQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgAEMAOgBcAA==
操作结果：已允许

进程ID：2360
操作进程：C:\Windows\System32\svchost.exe
操作进程命令行：C:\Windows\system32\svchost.exe -k netsvcs -p -s Schedule
父进程ID：824
父进程：C:\Windows\System32\services.exe
父进程命令行：C:\Windows\system32\services.exe

RS水果 · 发表于 2024-8-20 09:31

这段命令是一个PowerShell脚本，使用了Base64编码。

解码后的命令是：

Set-ExecutionPolicy Bypass -Scope Process -Force

这个命令的含义如下：

Set-ExecutionPolicy Bypass -Scope Process -Force：这是PowerShell的一个命令，用于设置执行策略。

Set-ExecutionPolicy：设置PowerShell的执行策略。

Bypass：设置执行策略为“Bypass”，这意味着脚本执行时不会被阻止，并且不会有任何警告或提示。

-Scope Process：设置执行策略的作用范围为当前进程。

-Force：强制执行，不显示任何确认提示。

-WindowStyle Hidden：隐藏PowerShell窗口。

-NoProfile：不加载PowerShell配置文件。

-enc：指定后面的字符串是Base64编码的。

总结来说，这段命令的目的是在隐藏的PowerShell窗口中，强制设置当前进程的执行策略为“Bypass”，以便允许执行未签名的脚本。

如果火绒无法查杀建议使用360系统急救箱全盘强力杀毒

https://weishi.360.cn/jijiuxiang/index.html

jyjjf · 发表于 2024-8-20 10:03

自己查看一下任务计划程序有没有异常的计划

alinwei · 发表于 2024-8-20 10:09

RS水果发表于 2024-8-20 09:31
[md]这段命令是一个PowerShell脚本，使用了Base64编码。

解码后的命令是：

感谢大佬的回复，按照您说的方式我看看，感谢回复。

alinwei · 发表于 2024-8-20 10:11

jyjjf 发表于 2024-8-20 10:03
自己查看一下任务计划程序有没有异常的计划

感谢，我看看去。

那些年打的飞机 · 发表于 2024-8-20 10:21

PE进系统，然后离线查杀你的硬盘

alinwei · 发表于 2024-8-20 12:18

那些年打的飞机发表于 2024-8-20 10:21
PE进系统，然后离线查杀你的硬盘

谢谢，我看看去

bfgxp · 发表于 2024-8-20 12:22

你是不是在使用hfs2.x版本，hfs2.x版本有严重的漏洞，黑客可以利用这个漏洞执行任何命令。

matxi · 发表于 2024-8-20 12:57

解码 Set-MPPreference -ExclusionPath C:\
看这条命令的作用是通过 PowerShell 修改 Windows Defender 的配置设置排除扫描的路径为 C:\，也就是说，Windows Defender 将不会扫描 C:\ 目录该命令由 svchost.exe 进程执行，且 svchost.exe 进程的父进程为 services.exe。svchost.exe 是一个系统进程，通常用于托管多个服务，使用此进程来执行脚本可能表明某些服务被利用或劫持。建议检查系统日志和进程：确认 svchost.exe 是否为正常的系统服务实例，并检查是否有异常的服务运行或被劫持。
扫描系统：使用其他安全工具（例如 Malwarebytes 或其他反恶意软件）扫描系统，尤其是 C:\ 目录，因为该目录可能包含恶意软件。
恢复 Windows Defender 设置：如果没有特定需求，建议将 Windows Defender 的排除设置恢复到默认状态，并确保其正常工作。

alinwei · 发表于 2024-8-21 09:14

bfgxp 发表于 2024-8-20 12:22
你是不是在使用hfs2.x版本，hfs2.x版本有严重的漏洞，黑客可以利用这个漏洞执行任何命令。

hfs2.x版本是什么呀?

帐号		自动登录	找回密码
密码			注册[Register]