今天我发现 WmiPrvSE.exe 每次启动时都会更改主 NIC 上的 DNS 设置。以下是我注册表审计后安全事件查看器的摘录:
- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
<Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
<EventID>4657</EventID>
<Version>0</Version>
<Level>0</Level>
<Task>12801</Task>
<Opcode>0</Opcode>
<Keywords>0x8020000000000000</Keywords>
<TimeCreated SystemTime="2016-05-19T22:17:28.512119300Z" />
<EventRecordID>237958</EventRecordID>
<Correlation />
<Execution ProcessID="4" ThreadID="212" />
<Channel>Security</Channel>
<Computer>Narus-PC</Computer>
<Security />
</System>
- <EventData>
<Data Name="SubjectUserSid">S-1-5-18</Data>
<Data Name="SubjectUserName">NARUS-PC$</Data>
<Data Name="SubjectDomainName">WORKGROUP</Data>
<Data Name="SubjectLogonId">0x3e7</Data>
<Data Name="ObjectName">\REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{0D87D42F-9740-4A6A-AA21-E48D267CCB3C}</Data>
<Data Name="ObjectValueName">NameServer</Data>
<Data Name="HandleId">0x2fc</Data>
<Data Name="OperationType">%%1905</Data>
<Data Name="OldValueType">%%1873</Data>
<Data Name="OldValue">8.8.8.8,8.8.4.4</Data>
<Data Name="NewValueType">%%1873</Data>
<Data Name="NewValue">31.7.56.104,119.81.242.146</Data>
<Data Name="ProcessId">0xf2c</Data>
<Data Name="ProcessName">C:\Windows\System32\wbem\WmiPrvSE.exe</Data>
</EventData>
</Event>
几个月前,我尝试了一些 DNS 工具,例如 OpenDNS、OpenNIC、DNSCrypt、Unbound 等……我还安装了 ProXPN。我的目标是研究 VPN 上的 DNS 泄漏,并发现允许安全执行 DNS 请求的工具。
无论如何,我很久以前就尽可能地卸载了所有东西(据我所知)。但我认为这与我的问题有关。
我猜想 WmiPrvSE.exe 只是在执行其工作,因为其他原因更改了 DNS,而这不是根本原因,对吗?我该如何深入调查?我该如何防止这种情况发生?
亲切的问候,Narus!
答案1
所以毕竟我还有一个“proXPN VPN”服务。每次我重新启动服务时,我的网络配置都会恢复到相同的错误设置。所以我再次安装了proXPN,然后使用CCleaner卸载了它。现在“proXPN VPN”服务已经消失,一切都很好。