Synaptics病毒事件分析

1. 事件响应与初步排查

多位同事普遍反映网络访问缓慢、系统运行卡顿。同时，总部通报可能遭受病毒攻击，我们随即启动应急响应，迅速关闭了疑似感染主机所在交换机的物理端口以隔离威胁。

总部反馈称，使用赛门铁克（Symantec）杀毒软件未能检测出异常。但通过部署模拟攻击工具进行主动探测，并结合流量监测分析，最终识别出异常网络行为和潜在感染迹象。

2. 病毒识别与背景分析

我们使用另一家厂商的最新病毒库进行全盘扫描，成功检测出名为**Synaptics**的病毒程序。经查阅资料，该病毒伪装成Synaptics触摸板驱动程序，具有较强的隐蔽性。

通过查看安全厂商对该病毒的特征码记录，并查阅维基百科等公开情报，我们注意到与此病毒关联的趋势科技在相关威胁分析方面表现突出，其检测与响应能力在此次事件中得到体现。

3. 技术分析与感染机理

我们使用IDA Pro、ILSpy及Resource Hacker等工具对病毒样本进行逆向分析，并结合以下技术报告深入理解其行为：

• Synaptics蠕虫木马分析
• 新型蠕虫病毒来袭，竟伪装“Synaptics触摸板驱动程序”

病毒运作机制逐步清晰：其通过感染可执行文件进行传播，并具备持久化、隐蔽通信等典型蠕虫特征。

下图摘自亚信安全发布的同类病毒分析文章

4. 病毒清除与文件修复策略

在明确病毒机制与感染范围后，我们制定了针对性的文件修复方案，旨在精准清除病毒代码，并尽可能恢复被感染文件的正常功能。核心策略如下：

（1）感染型可执行文件（.exe）修复

病毒会在正常程序的资源段植入恶意代码，并标记为EXEVSNX或EXERESX，或直接伪装成“Synaptics Pointing Device Driver”。修复时，首先在文件资源段中搜索上述标记。若EXERESX数据存在，则将其提取并清除；否则，检查文件描述信息，若确认为病毒伪装的驱动文件，则予以直接删除。此过程类似于对宿主程序进行“外科手术”，旨在剥离病毒载荷，保留原始功能。

（2）感染型Excel文档（.xlsx）修复

病毒常将恶意宏代码注入xl/vbaProject.bin组件中。修复时，需定位并检查该入口文件，确认其包含病毒下载链接后，按步骤进行清理：

• 删除被感染的xl/vbaProject.bin文件。
• 在[Content_Types].xml中移除对VBA项目的引用。
• 在xl/_rels/workbook.xml.rels中删除相关的关联关系。

在xl/workbook.xml中确保所有工作表状态为可见。此流程系统地清除了文档中的病毒组件，修复了文件结构，使其恢复为安全、可用的状态。

清除方式见：https://github.com/SineStriker/synaptics-recover/blob/main/README_zh_CN.md

5. 感染范围确认与反思

制定并执行上述修复策略，不仅是为了消除当前威胁，更是为了建立可复用的处置流程。它标志着事件响应从“检测与遏制”深入到“根除与恢复”阶段，最大限度降低了数据损失与业务中断时间。

在对比新安装系统与已运行数字化工具程序的系统时发现，后者确实出现感染迹象。但进一步分析表明，可见的表象往往只是冰山一角——实际感染范围远大于初步观察结果。经深入检测，硬盘内几乎所有可执行文件均已被感染。

这一情况凸显出一个常见误区：在复杂环境中，仅依据局部现象作出判断容易导致误判。此次事件再次说明，**彻底的取证分析与全局视角**在安全事件响应中至关重要。