什么是 Microsoft“启动时间删除工具”？

Question

我正在使用 Windows 7 计算机。所有者报告说，他们认为计算机已被恶意软件感染，并且他们曾让一家海外公司尝试解决该问题，但他们所做的某些事情导致计算机无法启动。

我在 C:\Windows\System32\Drivers 中发现了一个有点可疑的驱动程序文件，名为 trjaaake.sys。该文件是最近才创建/修改的，尽管在我看来它是在假定感染后大约两天创建/修改的。在此文件的版本选项卡下，我看到以下内容：

Description: Boot Time Removal Tool
Company: Microsoft Corporation
File Version: 1.1.16.0
Internal Name: BootTimeRemoval
Original File Name: BTR.sys
Product Name: Microsoft Malware Protection
Product Version: 1.1.0016.0

该文件似乎是用数字签名签名的，但我不知道如何判断签名是否合法/有效。

我将文件提交给了 Virus Total，所有 42 种不同的防病毒引擎都报告该文件正常。Norton File Insight 还表示，该文件被数以千计的计算机用户使用，并且已获得可信评级。

我确实在 C:\Windows\Temp 中找到了一个名为 BootClean.log 的文件。它包含以下内容（我已将用户名更改为“[redacted]”）：

Boot Time Removal Tool started
Error 0xc0000034 opening (\??\C:\Users\[redacted]\Desktop\SMART_HDD.lnk) for reparse check.
Unable to strip attributes from \??\C:\Users\[redacted]\Desktop\SMART_HDD.lnk with error 0xc0000034
Error 0xc0000034 removing: \??\C:\Users\[redacted]\Desktop\SMART_HDD.lnk 
Error 0xc0000034 opening (\??\C:\Users\[redacted]\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\SMART_HDD.lnk) for reparse check.
Unable to strip attributes from \??\C:\Users\[redacted]\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\SMART_HDD.lnk with error 0xc0000034
Error 0xc0000034 removing: \??\C:\Users\[redacted]\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\SMART_HDD.lnk 
Error 0xc0000034 opening (\??\C:\ProgramData\1yfOZG3BLWgtFb.exe) for reparse check.
Unable to strip attributes from \??\C:\ProgramData\1yfOZG3BLWgtFb.exe with error 0xc0000034
Error 0xc0000034 removing: \??\C:\ProgramData\1yfOZG3BLWgtFb.exe 
Removed \??\C:\Users\[redacted]\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\smart hdd\ 
BTR Completed Successfully

所以我想我的问题是，有人知道这个文件是什么吗？它可能是 Microsoft 恶意软件删除工具的一部分吗？

Answer 1

一个好的开始可能是运行sigverif - 这可能有助于验证签名。从那里开始，如果它是由您信任的公司签署的，那么它不太可能是您的问题；否则，您可能想要删除它。

另一方面，一旦机器受到损害，从那时起它就不能真正被信任。我建议备份个人文件和任何其他非特定于操作系统的数据，并重新格式化/重新安装操作系统。