早上打开电脑，电脑桌面上又冒出一个叫“webseal”的每天文件。这已经是出现这周第四次了。图标是电脑个白底蓝字的文档，双击打不开，每天右键看属性，出现大小永远是电脑0字节。删掉，每天重启，出现它又回来了。电脑像门口被人塞了小广告，每天撕了还贴。出现

我一开始以为是电脑某个下载软件留下的残骸。用Everything搜了一下全盘，每天发现C盘用户目录下有，出现D盘某个临时文件夹里也有，甚至微信的接收文件夹里都躺着一个。时间戳集中在凌晨三四点，那会儿我肯定没碰电脑。

问了一圈同事，有人说是WebEx的残留，有人猜是某个安全证书的缓存。但WebEx的进程我根本没装。后来在任务计划程序里翻到一个叫“WebSealUpdate”的任务，触发器写着“每天，重复间隔1小时”。路径指向C:\ProgramData\WebSeal\，打开那个文件夹，里面还有个config.ini，用记事本打开，只有三行：
[update]
url=http://update.webseal-service.com/v3/check
interval=3600

问题就出在这。这个域名我查了一下，注册地在开曼群岛，没有备案。用浏览器访问，直接跳转到一个空白页。但电脑上的某个进程确实在定时请求它，每次请求失败，就在本地生成一个空文件当日志。日志不写内容，只建个壳。所以文件永远是0字节。

谁在请求？打开资源监视器，网络选项卡里有个叫“svchost.exe (netsvcs)”的进程在持续连接那个IP。这个进程组里塞了十几个系统服务，没法直接判断是哪个。用Process Explorer看线程堆栈，发现一个叫“WebSealHelper”的模块被加载了。文件路径是C:\Windows\System32\wbem\WebSealHelper.dll。签名信息是空的，数字签名那栏写着“无法验证”。

我试着把这个dll改名，系统提示“文件正在使用”。进安全模式，改名成功。重启后，webseal文件没再出现。但第二天，另一个叫“WebSealAgent”的服务自动创建了，又把这个dll恢复了。服务描述写着“提供Web安全认证支持”，启动类型是“自动（延迟启动）”。

这玩意儿像牛皮癣。你抠掉一层，它换个名字长回来。查注册表，HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services下面确实有WebSealAgent，ImagePath指向一个rundll32命令，加载的正是那个dll。删除服务项，重启，它又通过另一个叫“WMI Performance Adapter”的计划任务重建了。

后来我在一个英文论坛上看到有人讨论这个。不是病毒，但比病毒烦人。它属于某个国内安全厂商的“终端准入控制”组件，被捆绑在某个办公软件的安装包里。装的时候不提示，装完就常驻。它的设计逻辑是：每次开机向服务器报到，服务器返回一个策略文件。如果连不上服务器，就本地生成一个空文件占位，等下次再报。所以文件永远删不干净，因为生成它的进程一直在跑。

解决办法有两个。一是找到那个办公软件，卸载时勾选“同时移除WebSeal组件”——但那个勾选框藏得很深，在卸载界面的“高级选项”里，默认不打勾。二是手动禁用WMI Performance Adapter服务，再把C:\ProgramData\WebSeal整个文件夹的权限改成“拒绝写入”。我选了第二种。改完权限后，那个文件夹还在，但里面的文件不再增加了。

现在桌面干净了。但每次看到C盘那个被锁死的WebSeal文件夹，还是觉得别扭。它像个不请自来的房客，赶不走，只能把门钉死。电脑是我的，可有些东西你说了不算。