别被TiWorker.exe骗了，搞不好有人在用你电脑挖矿
2022-02-10 10:38:27
TiWorker.exe可能被病毒伪装并利用进行挖矿
TiWorker.exe本身是微软Windows操作系统中的一个正常进程，用于处理系统更新任务。然而，正如你所述，该进程有可能被恶意软件伪装并利用，以执行非法活动，如挖矿。以下是对这一问题的详细分析以及相应的解决方法。
一、问题分析
异常行为：
TiWorker.exe长期大量占用CPU资源。
在任务管理器中难以发现或查看，有时任务管理器会在开启五分钟后自动关闭。
连接到非微软服务器（如立陶宛的VPS）。
病毒构成：
第一部分：Ymacco.AAA0类型病毒，伪装成TiWorker.exe。
第二部分：Masson.A!rfn类型病毒，用于获取系统权限并部署恶意文件。
恶意行为：
调用Riched32.dll执行未知操作。
随机在系统目录中部署恶意文件。
难以通过常规手段删除，易复发。
二、解决方法
进入Windows PE系统：
制作Windows PE启动盘，并启动进入PE系统。
删除恶意文件：
直接删除C:WindowsSysWOW64IMES-1-4-12文件夹中的TiWorker.exe和Riched32.dll文件。
注意：在PE系统中才能看到并删除这些隐藏文件。
清理病毒残留：
在Windows系统中，打开Windows安全中心，进入病毒和威胁防护。
检查并删除排除项中的恶意路径。
进行全盘扫描，确保没有遗漏的恶意文件。
进一步排查：
检查系统目录中是否有异常账户权限，并删除这些账户。
监控资源监视器，查找并删除TG_1.3.72.60.exe等可疑进程。
三、预防措施
保持系统更新：
定期更新Windows操作系统，以修复可能的安全漏洞。
安装可靠的安全软件：
使用知名的杀毒软件进行实时监控和定期扫描。
避免下载未知来源的软件：
不要从非官方或不可信来源下载软件，以防恶意软件入侵。
增强安全意识：
定期对系统进行安全检查，及时发现并处理异常行为。
四、图片展示
以下图片展示了在Linux下备份的病毒文件、Windows PE系统下的删除操作、以及病毒和威胁防护中的排除项设置等关键步骤：
通过以上步骤，你可以有效地识别并清除伪装成TiWorker.exe的恶意软件，保护你的电脑免受挖矿等非法活动的侵害。同时，加强日常的安全防护措施也是预防此类问题的重要措施。
热门标签
