闲人2019的博客_应急响应

挖矿病毒BearMiner

1、现象（1）、服务器存在卡顿现象。（2）、Setring.exe运行了多个线程进行，监测到CPU占有率达到75%。（3）、Setring.exe文件被释放在C:\Program Files (x86)\Microsoft MSBuild\Setring.exe，特意伪装成为了NVID

windows病毒处置

microsoft

英伟达

html

原创 2022-11-29 14:33:30 270 阅读 1收藏

WannaMine2.0

1、现象（1）、文件特征 C:\Windows\System32\EnrollCertXaml.dllC:\Windows\SpeechsTracing\C:\Windows\SpeechsTracing\Microsoft\在以上这些目录中存在svchost.exe、spoolsv.exe、

windows病毒处置

microsoft

官网

xml

原创 2022-11-29 14:32:42 228 阅读

Wmixml挖矿病毒

1、现象安全设备报wmixml或者主机访问了wmixml矿池地址。 2、处置（1）、使用ProcessExplorer等工具找到的svchost.exe进程删除（2）、使用autoruns.exe检查开机启动，删掉服务（3）、使用everything.exe查找appmg.d

windows病毒处置

xml

下载地址

html

原创 2022-11-29 14:32:26 231 阅读

WannaMine3.0

1、现象（1）、文件特征 C:\Windows\System32\MarsTraceDiagnostics.xmlC:\Windows\AppDiagnostics\C:\Windows\System32\TrustedHostex.exe在以上这些目录中存在svchost.exe、spool

windows病毒处置

xml

下载地址

官网

原创 2022-11-29 14:32:15 181 阅读 1收藏

驱动人生升级版后门病毒处置

1、现象（1）、文件特征 C:\Windows\SysWOW\下存在svhost.exe、C:\Windows\SysWOW\driver目录下存在svchost.exe taskmgr.exe(进程管理器)、temp目录下存在svchost.exe,且存在所有的利用工具包含m.ps1

windows病毒处置

microsoft

进程管理

任务计划

原创 2022-11-29 14:32:07 1296 阅读

WannaMine

1、现象 C:\Windows\System32\MsraReportDataCache32.tlbC:\Windows\SecureBootThemes\C:\Windows\SecureBootThemes\Microsoft\C:\Windows\SecureBootThemes\Cryp

windows病毒处置

microsoft

下载地址

官网

原创 2022-11-29 14:31:52 192 阅读

RDP爆破蠕虫Morto

1、现象（1）、主机有大量对同网段主机的3389连接。（2）、C:\Windows\offline web pages目录下有cache.txt文件。 2、处置（1）、删除标记的所有键值，只保留默认的（2）、使用tcpview工具可确定爆破3389的svchost.exe进程，再在任务

windows病毒处置

用户登录

任务管理器

重启

原创 2022-11-29 14:31:30 286 阅读 1收藏

PowershellMiner无文件挖矿

1、现象（1）、服务器存在卡顿和外联异常IP等现象。（2）、存在powershell.exe进程。 2、处置（1）、使用Autoruns工具（微软官网可下），选择WMI，将该WMI启动项删除（该项底部详细栏有“SELECT * FROM __InstanceModificationEve

windows病毒处置

官网

html

服务器

原创 2022-11-29 14:31:14 110 阅读

PowerGhost

1、现象在C:\Windows\Temp目录下生成cohernece.exe文件，以及java-log-xxxx.log文件，存在恶意进程powershell，不断向外进行RDP爆破和ms17-010利用，并且释放cohernece.exe。导致用杀毒软件杀掉后过一段时间会再次反复生成

windows病毒处置

选项卡

计划任务

内网

原创 2022-11-29 14:31:04 112 阅读

基于注册表的poweliks病毒

1、现象主机有访问C&C服务器域名，但是主机上无恶意文件，并且存在异常的dllhost.exe进程。 2、处置结束进程dllhost.exe使用PCHunter删除注册表相应的恶意键值，即删除默认键对应的值。（HKEY_CURRENT_USER\Software\Microsoft\Wi

windows病毒处置

结束进程

html

服务器

原创 2022-11-29 14:30:45 53 阅读

XorDDoS木马

1、现象服务器存在卡顿和外联异常IP等现象。存在进程名为10位随机字符的进程。对外有DDOS行为 2、处置停止定时任务：对于定时任务，删除或者注释都会被删掉重写，可以设置权限，使crontab文件无法写入：chattr +i /etc/crontab。对于木马文件，删除会重建，可

linux病毒处置

定时任务

服务器

重启

原创 2022-11-29 14:30:38 57 阅读 1收藏

watchdogs感染性挖矿病毒

1、现象表现为/tmp临时目录存在watchdogs文件，出现了crontab任务异常、网络异常、系统文件被删除、CPU异常卡顿等情况，严重影响用户业务 2、处置删除恶意动态链接库/usr/local/lib/libioset.so，排查清理/etc/ld.so.preload中是否加载

linux病毒处置

动态链接库

ios

系统文件

原创 2022-11-29 14:30:20 1526 阅读

Gates(盖茨)木马

1、现象对外DOS 2、处置删除：/tmp/gates.lod删除：/tmp/moni.lod删除：/etc/init.d/DbSecuritySpt删除：/etc/init.d/selinux 删除被篡改的命令文件(篡改大小后均为1.2M)：rm -f /usr/sbin/lsof

linux病毒处置

linux

html

原创 2022-11-29 14:29:43 581 阅读

seasame病毒

1、现象无法下载文件及访问网页、无法使用wget和curl命令服务器出现卡顿一个CPU占用较高的vmlinuz进程、3个采用7位随机字符拼凑的进程 2、处置快照或备份重要数据后，使用root权限执行以下命令：wget http://edr.sangfor.cn/tool/clea

linux病毒处置

2d

3d

d3

原创 2022-11-29 14:29:17 126 阅读

Powershell无文件挖矿查杀方法

现象服务器出现卡顿、CPU飙升和其他主机的445端口，建立起大量的连接存在大量Powershell进程处置封堵445端口; 或打永恒之蓝补丁(https://wukungt.github.io/2019/03/05/Windows%E8%A1%A5%E4%B8%81%E6%9B

windows病毒处置

结束进程

任务计划

服务器

原创 2022-11-29 14:29:05 324 阅读

Myking&暗云III病毒查杀方法

现象服务器出现卡顿、CPU飙升和其他主机的445端口、1433，建立起大量的连接存在大量Powershell进程感染MBR扇区被感染主机的445端口被异常关闭，且防火墙被添加“deny tcp 445”策略，IPsec被添加“win”策略处置封堵445端口; 或打永恒之蓝补

windows病毒处置

启动项

github

服务器

原创 2022-11-29 14:28:29 151 阅读

kthrotlds(WatchDogs变种)查杀方法

病毒现象服务器出现卡顿、CPU飙升以下为WatchDogs的判断方式及其命令：存在恶意

linux病毒处置

ios

root权限

启动项

原创 2022-11-29 14:23:52 67 阅读

WannaMine4.0查杀方法

病毒现象扫描爆破内网基于445端口的SMB服务服务器出现卡顿、

windows病毒处置

字符串

ios

服务器

原创 2022-09-28 21:37:06 838 阅读 1收藏

官方博客	全部文章	热门标签	班级博客
了解我们	网站地图	意见反馈

鸿蒙开发者社区	51CTO学堂
51CTO	软考资讯

51CTO博客

闲人2019