@wevsty 有一阵子流行暗云木马的变种，一开始我用 360 的急救箱都完全没用（联网了）。后来跟他们反馈了一下，过了一阵子（也不知道和我的反馈有没有关系），他们更新了，就可以杀了，但是急救箱界面上仍然没扫到任何东西。

@restran 我试过用 DoublePulsar 这个内核后门跑 meterpreter 木马……
用 Process Explorer 看，就是被注入的 lsass.exe 产生了 rundll32.exe，然后它又执行了 meterpreter ……
排查启动项可以用 Autoruns。如果怎么找都找不到自启在哪，也许人家在内核里做了手脚，把自己藏起来了；或者，人家已经在你电脑上装了 Bootkit，完全拿下了内核控制权……

我刚刚通过构造更高矿工费的“双花”成功把币拿回来了：
https://www.v2ex.com/t/365473
不知道算不算 Replace By Fee，看一些帖子说 RBF 是需要被替换的交易标记为允许 RBF 才行的，我好像没标记，但仍然成功了。
试了很多个途径去广播，包括 https://coinb.in、https://blockchain.info/pushtx 等在线交易广播服务，还有本地钱包如 Electrum （换了几个服务器），还有 Bitcoin Core 自己。当时只有 Bitcoin Core 自己没报错，Electrum 和在线交易广播服务都提示拒绝接受。但最后居然成功了……

@boter 我去，“双花”好像成功了😂我试了好几个途径去广播，不知道是哪个节点帮我广播出去的。

能看见进程，也许只是幸运，没碰到技术太变态的；也可能只是冰山一角……
如果是进入内核运行的恶意代码，把自己完全藏起来是有可能的。远的不说，想想 DoublePulsar、暗云、谍影系列木马……

你需要重装系统了……
有兴趣的话，上传 VirusTotal。Process Monitor 的 Boot Logging 也可以帮你监控系统启动过程。
Process Monitor 直接勾选 Enable Boot Logging 可能会提示拒绝访问，你可以先保存一个 PML 文件，然后重启，再打开那个被保存的 PML 文件，这样 Process Monitor 就不会加载驱动，这个时候再勾选 Enable Boot Logging 就不会拒绝访问了。

@boter 好像 RBF 也是要之前的交易标记允许才行的？
现在 BlockChain 上一直都有拿笔卡住的交易，新构造的交易则拒绝接受。

这些交易所的价格立马涨上来了……立竿见影😂

反正我下东西时是尽量先验证数字签名或 hash 值的……

这个 V 站以前讨论过吧：
https://www.v2ex.com/t/222412
连死链接都能“解决”，“缓存过期”甚至“投毒”也许都不是太奇怪的事情吧……但迅雷他们估计也不傻，在用一些办法尽量校验。

@nfroot 被加密的私钥保存了吧？
万一……那家伙放出私钥了呢。

@nfroot 不知道情况怎么样了？有没有解密，或者……有没有看到对方给个回话？

@Clarencep WanaKiwi 扫私钥的机会因为 LZ 随手杀毒失去了(LZ 用的大概不是 32 位系统，所以也可能本来就没有这个机会)，数据恢复他已经试过了……死马当活马医啊，没办法了。

@nfroot @Netherlands
还是再掺和一下吧……有错轻喷。
“坑新”的比特币找零机制：
http://www.8btc.com/joybtc_5
https://bitcoin.stackexchange.com/questions/9007/why-are-there-two-transaction-outputs-when-sending-to-one-address
https://www.zhihu.com/question/23535773

@nfroot
https://bitcoin.stackexchange.com/questions/18659/how-to-send-bitcoins-from-selected-address-on-blockchain-info-wallet
@Netherlands
已经有老司机指导了，我就不瞎掺和了。

柯洁输了……

@Netherlands 只是跟踪最近的交易记录的话，要处理的数据量应该不大。

@Netherlands
受害者因为思维惯性，可能只会买金额和赎金差不多的比特币，买到的比特币很可能会通过一笔交易直接转到新的比特币钱包地址里，我觉得这是个特征。所以，也许可以追踪最近的交易记录，筛选出这种看上去像是要付赎金的钱包，然后抢先把钱包地址发给勒索者。

@Netherlands
根据这则消息，WanaCry 的作者意识到自己犯了错误，后来做了修正，但影响不大。
https://twitter.com/threatintel/status/864802886471090176