某“银狐”样本清除思路
以下内容包含某“银狐"样本运行现象及清除过程。
*样本来源：https://bbs.kafan.cn/thread-2276868-1-1.html
测试环境：虚拟机，win10 19045，断网
基础现象：
1，会结束一些工具的进程（例如 processhacker,autoruns等）
2，会多两个进程runtime.exe和winnt.exe
3, 去runtime.exe所在文件夹下，发现并没有对应的文件；给该目录去掉系统和隐藏属性(attrib -s -h)，就可以看到其他文件
直接ctrl+a+ctrl+d 删除这些文件，本能删除的尝试重命名；然后重启
curl.dll和tProtect.dll对应的是驱动服务，需要删除服务项。
Update.wnc对应的是计划任务运行的文件，计划任务项目名称为 kafanbbs（可以在系统日志中找到相关记录）,对应的xml文件时EFCF.tmp在临时文件夹
创建计划任务的系统日志记录
可以看出，Autoruns并没有列举出”银狐“注册的特殊计划任务，差评。
EFCF.tmp文件如下所示：
所以把上面这些文件及创建的表项删完，基本上就清除干净了。不过这只是在断网的情况下，实际环境中应该还有其他痕迹。