| 風險等級： |
高度威脅 |
| 摘 要： |
病毒通告：Trojan.Siggen34.10265 木馬程式 |
| 解決辦法： |
為防止系統受到該木馬的影響，建議使用者：
1.中斷網路連線：防止木馬進一步下載其他惡意組件或與 C2 伺服器回報。
2.結束異常程序：使用任務管理員檢查是否有異常的 .exe 程序在執行（特別是與檔案 路徑相關的程序）。
3.立即隔離與移除：立即隔離受惡意檔案影響之主機進行完整系統掃描，使用可靠的安全軟體執行「完整掃描」，確保沒有其他殘留的檔案。
4.修改關鍵密碼： 由於此木馬可能竊取資料，建議在移除後更改該主機上有使用的密碼。 完整掃描：由於這是 2026 年 4 月才加入病毒庫的新病毒，請確保您的防毒軟體已更新至最新版本並執行全系統掃描。
|
| 細節描述： |
該木馬程式會透過建立 Windows 服務及修改服務設定的方式實現持久化與自動執行，並以驅動程式形式載入至系統中。
該惡意程式會建立以下檔案：
1.<目前目錄>\6989369969.exe
2.<目前目錄>\logs\overlay.log
3.%TEMP%\deadstar\secureenginesdk64.dll
4.%TEMP%\deadstar\vehhandler.dll
5.<驅動程式>\7706e4bc.sys
這個惡意程式會執行以下操作：
1.設定 [HKLM\SYSTEM\CurrentControlSet\Services\7706E4BC] 的 ImagePath 鍵值為 \7706E4BC.sys 並建立系統服務，以確保自動運行。
2.在 6989369969.exe 進程中，使用硬體斷點攔截 ntdll.dll 模組中的控制。
3.將 %TEMP%\deadstar\vehhandler.dll 的屬性設定為「隱藏」。
4.建立並執行 <目前目錄>\6989369969.exe --deadstar-morphed。
5.透過 PowerShell 執行緒等待行程（PID 4436）結束後，強制刪除指定路徑的檔案。
6.刪除自身建立的暫存檔案 %TEMP%\deadstar\secureenginesdk64.dll 與 %TEMP%\deadstar\vehhandler.dll，並執行自我刪除。
HiNet SOC 建議管理者儘速評估更新，以降低受駭風險。
https://hisecure.hinet.net/secureinfo/hotnews.php |
| 參考資訊： |
drweb
|
| |
