病毒标识
Backdoor:Win32/Yonsole.A，新型后门木马。
破坏行为
- 修改主引导记录 (MBR)，参考经典 “Stoned” 病毒手法。
- 感染后启动仅在屏幕中央显示一道虚线，系统彻底无法引导（黑屏）。
- 植入
services.exe，下载 DLL (如 f00165500k.cmd) 到系统目录，注册为服务实现开机自启，接受远程控制指令。
受影响系统与植入路径
| 系统版本 | DLL 植入目录 |
|---|
| Windows 2000 / NT | C:\Winnt\System32 |
| Windows XP / Vista / 7 | C:\Windows\System32 |
微软技术分析要点
- MBR 代码仅显示虚线，无勒索信息、无引导菜单，极具破坏性。
- 木马通过修改合法系统文件
services.exe 隐藏自身，传统文件完整性检查难以发现。
- 下载的 DLL 包含完整后门功能 (检测为
Backdoor:Win32/Yonsole.B)，可执行任意远程指令。
应急处置建议
- PE 启动盘 (WinPE/微 PE) 引导，备份重要数据。
- 用 MBR 修复工具 (如
fixmbr、MbrFix、DiskGenius) 恢复标准 MBR。
- 全盘查杀 (推荐火绒、Malwarebytes、卡巴斯基救援盘) 清除
services.exe 篡改、System32 下恶意 DLL 及服务注册项。
- 修复系统文件：
sfc /scannow (需安装盘) 或从已知干净系统拷贝 services.exe 覆盖。
- 修改所有账户密码，排查横向移动痕迹。
预防核心
- 不运行来源不明的 exe、脚本、Office 宏。
- 开启系统文件保护、DEP、ASLR (Win7+)、受控文件夹访问 (Win10+)。
- 定期离线备份关键数据 (3-2-1 原则)。
