做一两天休息几周 多好呀，除非是行政因素比如发不出工资了，否则不建议这个时间点离职

没能找到任何 wmi 事件。。。。。

1. dns request from C:\WINDOWS\system32\svchost.exe -k NetworkService -p -s Dnscache
2. disable dnscache REG add "HKLM\SYSTEM\CurrentControlSet\services\Dnscache" /v Start /t REG_DWORD /d 4 /f
3. source to C:\WINDOWS\System32\svchost.exe -k LocalSystemNetworkRestricted -p -s NcbService
4. NcbService (Network Connection Broker 允许 Windows 应用商店应用从 Internet 接收通知的代理连接。) ncbservice.dl
5. NcbService 依赖 连接设备平台服务（此服务用于连接设备平台方案）
6. 禁用 Network Connection Broker 服务
7. MsMpEng.exe （ Antimalware Service Executable ）发出 dns 请求（ C:\ProgramData\Microsoft\Windows Defender\platform\4.18.2003.8-0\MsMpEng.exe ）
8. 关闭 windows defender （ reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender" /v "DisableAntiSpyware" /d 1 /t REG_DWORD /f ）
9. C:\WINDOWS\system32\svchost.exe -k netsvcs -p -s Winmgmt(Windows Management Instrumentation) WMI 服务
10. wmi 相关文档 url https://www.freebuf.com/articles/system/187792.html
11. wmi 检测工具 https://www.slideshare.net/Hackerhurricane/detecting-wmi-exploitation-v11

_______________________
以上是今天的进度，初步缩小范围至 wmi

我是这样想的，既然安全模式是干净的，那现在肯定是有流氓在

append 数量满了，后续内容更新到回复里

@yulihao 现在恢复了系统备份，还在一月份的备份里就已经有这些可疑请求了
可惜我开箱的时候没做全盘备份，不然这锅就好扔了
我打算有空的时候再处理了，感谢各位关注

@bfdh 没能定到源头，进程里只看到 Windows 的 DNS 系统服务发出的

@9yu 各种环境设置不想再重做一遍了，无法重装，只能忍了

@amazingrise 我没法重装系统。。。重度使用，不想重配各种环境了。
当初开箱没重装主要是想着正版 OEM win10 和 office 家庭版也还是有价值的

@Itwillbeok 所以这个行为很让人费解，主要是怎么样也没抓到可疑的网站访问流量，光请求个 DNS 有啥用？

@Itwillbeok 最不可能的猜测可能就是答案，因为我真的排除到只剩下 win10 的系统服务了 也不在我可以解决的范围内了

@jinliming2 排查了一下 不是 hook，只是读了指定进程名是否存在

@salmon5 重装成本太高 现在没法做

最后补充一个信息
在网关层面监控了流量，也没有访问到 2345 等网站
真真正正只是 DNS 请求而已，绕过 hosts 向系统设置的主 DNS/副 DNS 发起的请求，我只能以阿 Q 精神结束此事:
这是 ThinkPad OEM win10 的附带隐藏“福利”
(没错!我一台新机器，这锅你就得背!)

对不住支招的各位，目前的这个异常访问的情况超出我的处理能力了，无力反抗

@V4Exp 用 procmon 能看到 dns 请求，但是是 windows 服务 dnscache 发出的。。。。