服务器上打开的 winlogon.exe、LogonUI.exe、csrss.exe 过多？

Question

我不得不重启内容服务器，因为它卡住了。重启 IIS 和 SQL Server 后一切都正常，但当我打开任务管理器时，发现以下情况。我以前从未见过这种情况，希望这不是某种病毒。如能提供任何相关信息，我将不胜感激。

命令行是：winlogon.exe = winlogon.exe

    logonUI.exe = LogonUI.exe /flags:0x0

    csrss.exe = see image below

Answer 1

我刚刚在我的其中一台服务器上遇到了同样的问题 - 原来是由于尝试通过远程桌面/终端服务进入服务器而导致的 - 无论是暴力攻击还是大规模字典攻击（每次 RDP 登录尝试都会导致 LogonUI 生成）。检查您的系统和安全事件日志，它们将包含更多信息（例如任何失败的远程登录尝试的原始 IP）。

Answer 2

我发现这是致命病毒

http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Virus:Win32/Morto.A

Malwarebytes 修复了这个问题。