xingchengo

@acess 计划任务里面确实有这条记录

\SorarCharts C:\Program Files\SorarCharts\SorarCharts.dll

@acess 26 分钟前刚刚有人传上去分析，这个文件第一次被分析是在 2017-05-17 17:48:19 UTC.

https://www.virustotal.com/zh-cn/file/6348e30db87507281b5666c1c64ae30c69d000bdaa178a922ce5af05ce99e47d/analysis/

@acess svchost.exe，开机后 Avast 又把这个 C:\Program Files\SorarCharts\SorarCharts.dll 干掉了

参数是这个

c:\windows\system32\svchost.exe -k netsvcs -s Schedule
C:\WINDOWS\system32\rundll32.exe "C:\Program Files\SorarCharts\SorarCharts.dll",DXGsOtns

@acess 我把 Windows 又开起来了，rundll32.exe 那个就是系统自己的，用了 Avast 开机扫描，目前是没发现有重新创建那些 *.tmp.exe 文件了，但是还是有些怕怕的，现在用 360 急救箱，在考虑要不要重装。

对了这些程序还会对 host 文件加上这些东西，全部是针对 avast 的

```
127.0.0.1 gf.tools.avast.com
127.0.0.1 pair.ff.avast.com
127.0.0.1 ipm-provider.ff.avast.com
127.0.0.1 ipm-provider.ff.avast.com
127.0.0.1 ipm-provider.ff.avast.com
127.0.0.1 id.avast.com
127.0.0.1 v4618535.iavs9x.u.avast.com
127.0.0.1 v4618535.ivps9x.u.avast.com
127.0.0.1 v4618535.ivps9tiny.u.avast.com
127.0.0.1 v4618535.vpsnitro.u.avast.com
127.0.0.1 v4618535.vpsnitrotiny.u.avast.com
127.0.0.1 v4618535.iavs5x.u.avast.com
127.0.0.1 v7.stats.avast.com
127.0.0.1 v7.stats.avast.com
127.0.0.1 v7event.stats.avast.com
127.0.0.1 sm00.avast.com
127.0.0.1 submit5.avast.com
127.0.0.1 geoip.avast.com
...
```