启动时在 C:\Windows\System32\ 文件夹中生成神秘的 .tmp 文件

Question

启动机器后，我在 C:\Windows\System32\ 中生成了 4-5 个 .tmp 文件，通常名称如下：3.tmp、5.tmp、6.tmp、7.tmp、8.tmp

这些文件每个大约有 100K 大小。我可以手动删除它们，而且似乎不会影响任何东西。

这种情况大约在 2、3 天前才开始出现。我想我感染了病毒，因为有一次我的防病毒程序弹出提示说 isvchost.exe 文件被感染了，而 iscvhost 文件是由其中一个 .tmp 文件生成的。即使我删除了 iscvhost.exe 文件，下次启动时它还是会由那些 .tmp 文件重新创建。那些 .tmp 文件也会重新生成，但过程我不知道。

我检查了我的注册表项并查找我不知道的启动程序，但我的启动程序列表中的所有内容都是干净且已知的。

那么程序如何能在我不知情的情况下在重启时重新生成文件呢？

Answer 1

那么程序如何能在我不知情的情况下在重启时重新生成文件呢？

哦，有负载程序可以在启动时运行的方法有很多，同样，程序也有很多方法可以躲避您的注意。

你可以尝试运行劫持找到更多启动钩子，而不仅仅是 Software-MS-Win-CurVer-Run 键，以及 rootkit 查找器，例如黑光看看是否还有你看不到的隐藏文件。但是持久的自我重建程序通常很难从操作系统内部删除。

Michael 是对的：唯一安全的做法是清除病毒（重新格式化并重新安装操作系统）。不要依赖防病毒软件来保持安全，因为当今的防病毒工具对于不断增长和变异的 Web 漏洞威胁几乎完全无用。

Answer 2

它位于一台开发机器上，这让我认为那些是来自开发环境的临时文件（= .tmp）。

也许您安装了新的应用程序或更改了某些应用程序中的配置。

Answer 3

查看 Sysinternals 的 Process Monitor。它可以记录系统中的进程、注册表、文件系统和网络活动。它还可以进行启动日志记录，因此您应该能够从一开始就跟踪这些临时文件的创建过程。