标签：木马取证

k2f_chan 的两小时：NIKKE 启动器木马的取证全记、UAC 关闭的加重项，与「可以不重装」的证据链

NIKKE PC 启动器 k2f_chan 木马事件的全盘取证：日志三段咬死确认恶意代码真实执行——insight.bundle 下载 205KB、k2f_chan registered 命名管道控制通道建立、agent started 载荷开跑，RAT 在内存里跑了约两小时；加重项是这台机器 UAC 关闭（EnableLUA=0）且用户在管理员组，木马跟着拿了管理员权限。但持久化全线阴性：CLSID 劫持键、Chrome PlatformExperienceHelper DLL、%TEMP% 残留、服务安装事件、计划任务、Run 键、WMI 订阅、k2f_chan 管道监听、恶意外连全部不存在；C 盘 Defender 完整查杀 99 分钟零威胁。Gemini 的解读被独立复核并纠正一处——「没能运行成功」不成立，第一阶段跑了、第二阶段没落地。结论：可以不重装。