警惕！快看看你的网吧是否被修改了开机启动项

深夜来发一帖提醒各位老板，近期发现多例，开机启动项被篡改的问题，篡改的很隐蔽。
通常情况下，维护人员都是接到网吧反馈的问题，然后针对不同的问题有不同的思路，但是被篡改启动项之后，客户机上面表现出的异常各不相同，有CPU莫名其妙占用高的，有游戏卡顿的，有首页被篡改的，有被盗号的........各种各样的情况都有，包括一些常见的现象，很容易因为维护人员惯性思维导致问题排查方向偏了，如果最近有遇见一些莫名其妙的问题，可以从这方面查一下，没问题的在过年之前也查一下，争取过个好年！

首先来看启动项表面情况，发现不了任何问题。


但是我们将开机启动项的startrun文件往下面拉，拉倒最后，就能看出来了。

最后一行被加了“佐料”。
而一般将这一行删除掉，客户机的问题也就迎刃而解了。


因为最近接到这类案例有几例，一般也查不出是什么时候被添加上的，只能大家自己自清自查下，有问题解决问题，没问题的也做好防范。比如修改服务器密码，限制远程登录个数，修改远程端口等等。
另外如果有遇见的老板，可以留言讨论下，重点是注意下服务器系统版本（2008、2012、2016...）？使用的哪里的系统（网吧三国、死性不改）？使用的是什么远程工具（Radmin、3389、维护大师）？
争取大家一起找到原因，早日解决问题，过个安静年。

我有病毒样本。QQ310362。应该是入侵了。我是用的影子和维护大师，没有开3389