http://lktoday.ru/ 广告网站浏览器自动弹出，诺顿和腾讯管家都扫描不出来，怎么办?

[colemanlee]

http://lktoday.ru/ 广告网站浏览器自动弹出，诺顿和腾讯管家都扫描不出来，怎么办?

按道理如果是病毒 /广告软件 /木马的话，都能扫描出来啊？

[Greenm]

既然是浏览器自动弹出，那其实你应该发系统进程，开机启动项之类的东西，而不是发个域名，这样大家很难帮你出主意啊。

搜了一下域名相关，和 kms 有关，你是不是网上下载了 windows 激活工具之类的东西？

[colemanlee]

@Greenm 谢谢，仔细查看了进程和开机启动项，没有发现异常。确实下载了 windows 激活工具，我再仔细查看一下。

[acess]

procexp 定位窗口、找父进程，试过没？

[colemanlee]

@acess
经过 Process Explorer v11.04 调查，是 explorer.exe （ 10360 ）调用了命令"C:\Program Files (x86)\Tencent\QQBrowser\QQBrowser.exe" -- "http://lktoday.ru/"打开的弹窗。如下图所示：

但是进程列表里没有 explorer.exe （ 10360 ）这个进程，只有 explorer.exe （ 17968 ）（它的属性描述是<Non-existent Process>(3128)），

如何进一步调查呢？能调查到是哪个别的程序调用 explorer.exe （ 10360 ）这个进程吗？
或者是 explorer.exe （ 10360 ）这个进程的哪个 dll 调用弹出的广告窗口呢？

[colemanlee]

@acess
今天又出现这个广告弹窗，使用 Process Explorer v11.04 调查发现父进程是“<Non-existent Process>(47824)”，
这个不存在的进程是怎么回事？

[carlist]

WMI Tools 检查一下吧

[SunZm]

建议参考一下这个 http://blog.sina.com.cn/s/blog_54b68de50102ydn4.html，在 控制面板\系统和安全\管理工具-计划任务 中的 任务计划程序库

[yujaeseok]

7 楼正解，kmspi.co 里面下载的是被捆绑了大量木马和挖矿程序如 one system care 等。百度搜 kmspico 时排第一的我还以为是官网就中招了。火绒 360 等完全无法卸载完全，后续还得手动删除各种相关注册表信息以及遗留的相关文件。。。