从发现可疑弹窗到彻底清除远程控制木马

本文记录了一次2026.09.11真实的网络安全事件：从电脑突然出现可疑弹窗，到一步步排查出隐藏的远程控制后门，最终彻底清除的全过程。

一、异常初现：一个不寻常的弹窗

电脑启动后弹出一个“程序兼容性助手”窗口：

此模块被阻止加载到本地安全机构。
\Device\HarddiskVolume3\Program Files (x86)\Microsoft Visual C++ 2015\ScreenConnect.WindowsAuthenticationPackage.dll

这个弹窗看似普通，却暗藏玄机。

“本地安全机构”（LSA） 是 Windows 的核心安全组件，负责管理登录验证、密码修改等关键操作，一个来路不明的 DLL 试图闯入这个区域……

如果看到类似“被阻止加载到本地安全机构”的弹窗，不要忽略。很可能意味着有恶意软件正在尝试劫持你的系统登录流程。

二、初步排查出注册表里的猫腻

弹窗指向了一个关键位置：注册表。打开注册表编辑器（regedit），定位到：

计算机\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

在右侧找到 Authentication Packages 这个多字符串值。正常情况下，应该只有 msv1_0（Windows 默认的认证包）。

但这里却多了一行：

C:\Program Files (x86)\Microsoft Visual C++ 2015\ScreenConnect.WindowsAuthenticationPackage.dll

这就是攻击者的手法：将恶意 DLL 路径添加到 Authentication Packages 中，让系统每次启动时都自动加载它。这个 DLL 被加载后，攻击者就能实现 “免密登录” 和 “持久化控制” ——即使修改了密码，他们依然能进入电脑。

Authentication Packages 是系统核心配置，普通软件绝不会去修改它。一旦发现多余路径，基本可以确定是恶意行为。

三、深入追踪服务、文件与域名

接下来，打开 事件查看器（eventvwr.msc），在“Windows 日志 → 系统”中筛选事件 ID 7045（服务安装）。果然，发现了一条可疑记录：

• 服务名称：14.0.24215.1（伪装成 Visual C++ 的版本号）
• 服务文件名："C:\Program Files (x86)\Microsoft Visual C++ 2015\ScreenConnect.ClientService.exe" ?=e=Access&y=Guest&h=open2.trusts-vpns.top&p=8041&s=...&k=huilderx
• 服务启动类型：自动
• 服务账户：LocalSystem（最高权限）

这里暴露了攻击者的关键信息：

• C2 服务器：open2.trusts-vpns.top（攻击者的控制端域名）
• 伪装标记：k=huilderx（试图伪装成 HBuilderX 组件）

随后检查 C:\Program Files (x86)\ 目录，发现了一个名为 Microsoft Visual C++ 2015 的文件夹，里面全是 ScreenConnect.* 文件。这是一个精心伪装的“贼窝”——用微软组件的名字来降低警觉。

ScreenConnect 本身是一款合法的远程控制软件，但常被攻击者利用。如果没有主动安装过它，出现在系统里就是危险信号。

四、清理行动：切断持久化与通信

确认威胁后，开始清理。操作按顺序如下：

1. 停止并删除恶意服务

以管理员身份打开 CMD 或 PowerShell：

sc stop "14.0.24215.1"
sc delete "14.0.24215.1"

如果服务名不对，用 sc query type= service state= all | findstr /i "screen" 找到准确名称。

2. 屏蔽控制端域名

编辑 C:\Windows\System32\drivers\etc\hosts 文件（需管理员权限），在末尾添加：

127.0.0.1 远控端域名

这会让恶意域名指向本机，彻底切断后门与攻击者的通信。

3. 结束恶意进程并删除文件夹

如果删除文件夹时提示“文件正在使用”，打开任务管理器，结束所有 ScreenConnect 进程，然后直接删除整个 C:\Program Files (x86)\Microsoft Visual C++ 2015 文件夹。

4. 确认注册表恢复

再次检查 Authentication Packages，确保其中只有 msv1_0，没有其他路径。

五、全面检查：网络连接与日志

清理完成后，进行验证：

• 网络连接：在 PowerShell 中运行 netstat -ano | findstr ESTABLISHED，检查是否有连接指向 远控端域名 的 IP。没有发现，说明后门通信已被切断。
• 登录日志：在安全日志中筛选事件 ID 4624，查看登录类型。正常应为 2（本地）、5（服务）、7（解锁）、11（缓存凭据）等，没有出现类型 10（远程桌面），说明攻击者并未通过 RDP 登录。
• 日志完整性：检查事件 ID 1102（安全日志被清除）和 104（系统日志被清除），均无记录，说明攻击者没有销毁日志。

六、溯源追查：能查到攻击者吗？

清理完成后，追溯攻击来源，但面临几个现实困难：

• 文件时间戳：ScreenConnect 文件显示 2024年4月，这是该版本的编译时间，并非入侵时间。实际服务安装时间为 2026年9月10日，说明后门是最近被植入的。
• ScreenConnect 配置文件：检查 user.config 和 system.config，寻找 Hostname 等字段，但攻击者常使用代理，难以定位真实 IP。

完全追踪到攻击者是非常困难的，通常使用代理、VPS 和合法工具来隐藏身份。普通用户能做的，就是彻底清除后门并加强防护。

七、总结与安全建议

这次事件中，Windows 的 LSA 保护成功拦截了恶意模块，是阻止攻击的关键。但也不能总依赖系统保护，日常应做好以下防护：

1. 只从官方渠道下载软件：破解版、绿色版常常捆绑恶意程序。
2. 定期检查启动项和服务：任务管理器 → 启动，以及 services.msc，看看有没有陌生项目。
3. 留意异常弹窗：如“被阻止加载到本地安全机构”这类警告，一定要重视。
4. 发现异常后的应急流程：
   • 断网（拔网线或关 Wi-Fi）
   • 检查注册表、服务、进程
   • 清理恶意文件
   • 修改所有重要密码
   • 全盘杀毒（完整扫描）
5. 启用 LSA 保护：Windows 11 默认开启，但可手动确认：Windows 安全中心 → 设备安全性 → 内核隔离 → 本地安全机构保护。

最后，如果遇到类似情况，不要慌张。按照“发现→排查→清理→验证”的流程，一步步操作，就能把威胁清除干净。