首页 > 极客资料 博客日记
Windows应急响应-Auto病毒
2024-10-05 18:00:03极客资料围观19次
应急背景
运维人员准备通过windows共享文档方式为公司员工下发软件安装,开启完后忘记关闭了,而且其他人可以对共享文件夹下的文件进行删除替换修改,有恶搞的人就通过共享文件夹的方式,捆绑了病毒在一些文件中,导致公司员工下载安装的时候中了病毒。
症状如下图,右键盘符出现Auto
上网查发现是auto病毒,首要特征就是盘符下存在autorun.inf文件,待会分析就会发现这个文件,而且每次双击盘符都会根据autorun.inf文件重新运行文件中指定的程序文件,也就是说会重新感染一次病毒。
分析样本
在共享文件夹中拿到样本后先丢到虚拟机对样本进行行为监控,看下一具体做了什么手脚。
监控工具使用D盾
:
https://pan.baidu.com/s/13hCSYpV5Mn_1JMzy4nSkSQ?pwd=kott
开启监控
D盾可以打开文件监控,主要看病毒做了什么,重点看创建了什么文件
就这就可以启动监控了
感染病毒
把病毒样本丢进虚拟机,记得把虚拟机网卡模式设置成仅主机模式,避免有的病毒把物理机也感染了。
查看监控
双击后很明显看到有两个诡异的文件被创建了
线索卡:
1.c:\\autorun.inf
2.c:\\system32\dllh0st.exe
分析病毒行为
autorun.inf分析
首先查看一下autorun.inf文件,右键打开盘符,这里也可以看到确实是已经感染了病毒了
c盘没看到就知道肯定是做了文件隐藏了,只能上工具了
由于本次实验使用的是WinServer2003,能够使用XueTr
,在分析查杀过程就直接上XueTr
了。
XueTr
工具下载地址:
https://pan.baidu.com/s/1ZT-80vNkQs6gWOuvLAxTcg?pwd=d55s
我们选择将文件拷贝出来
查看文件内容,我们要知道autorun.inf
的作用是:允许在双击磁盘时自动运行指定的某个文件 ,那也就是说双击盘符就会再次感染病毒,可以看到这个文件是在C:\\Windows\System32
文件夹下,那就印证了我们d盾监测到的行为,确实没错。
但是这里是DLLHOST.exe,不是d盾中写的dllh0st.exe,具体原因不知道,但是还是以DLLHOST.exe为准,因为是病毒对应的文件。
修改线索卡↓
线索卡:
1.c:\\autorun.inf
2.c:\\system32\DLLHOST.exe
2.异常连接
没有发现对外连接的异常
3.进程排查
打开进程管理查看,有大写的DLLHOST,这个已经确认了是病毒了,但是小写的dllhost进程我们也不打包票是正常,但网上也能查到这个文件是系统原本就有的,所以就先关注大写的进程。
查看一下进程对应服务,没有发现异常服务,就只有一个进程运行
tasklist /svc | findstr "4036"
那么就上工具进行分析了
查看进程模块就确认了确实是病毒,只有一个异常进程模块。
后面就继续看另外的dllhost,也没有发现异常
然后这里是要跟进进程文件的,或者看进程对应的文件路径,这里忘记截图了,显示的是DLLHOST.exe。
线索卡:
1.c:\\autorun.inf
2.c:\\system32\DLLHOST.exe
4.启动项排查
xuetr打开启动项就看到病毒创建的启动项了
打开注册表查看,同样发现有写入注册表
线索卡:
1.c:\\autorun.inf
2.c:\\system32\DLLHOST.exe
3.启动项
4.注册表:HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
查杀
分析完毕,根据拿到的线索开始查杀
线索卡:
1.c:\\autorun.inf
2.c:\\system32\DLLHOST.exe
3.启动项
4.注册表:HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
1.先删掉autorun.inf文件
打开盘符记得使用右键,然后打开,不要直接双击,否则会再次感染一遍
没有发现文件,之前分析的时候也说了,文件被隐藏了,只能用xuetr工具进行删除
像病毒相关的这种文件,最好先勾选删除文件且阻止再生->然后再次右键强制删除
2.使用xuetr杀掉进程
这里我观察到他是删掉我dllhost文件夹下的DLLHOST.exe,也就是他进程使用的是我复制进来的病毒源,所以第一次的进程运行起来就是我的病毒源,xuetr根据进程删除的文件就不是system32那个文件夹下的文件删除掉,这里简单分析一下可以知道是掩耳盗铃,我们重启后就会自动找到system32那个文件,因为进程重启后会重新运行,启动项对应的DLLHOST都是对应着system32那个文件夹下的程序文件。
所以我们要去c:\\system32\DLLHOST.exe
下进行删除,但是这个进程对应的文件是DLLHOST.exe,文件也是被隐藏了的,所以还是要用专业工具进行删除
3.启动项删除
先定位到注册表
因为不知道load时不时系统自带的目录项,所以这里最好是删掉值即可
接着回到启动项查看,发现已经不见了,如果还在DLLHOST的话就需要删除。
重启排查
现在打开盘符已经没有auto了,可以正常双击盘符进入
入侵排查正常流程
首先对之前病毒操作了的行为进行再次排查
-
进程无异常(DLLHOST)
-
c:\\Windows\System\DLLHOST.exe
不存在
-
启动项,正常(注册表正常)
接着其他的入侵排查了
- 异常连接(netstat -ano)
- 账户排查(net user)
直接用d盾看了,这里还可以去注册表看有没有隐藏账户
- 服务排查
- 定时任务
应急完成,本次算是对病毒应急的一次小小的了解,auto病毒也很久了,主要是通过u盘传播,因为有的人他会插上u盘后就双击打开,那么这时候就会感染上病毒了,所以通过本次实验要提高警戒,u盘平时最好还是右键打开的方式进入比较安全。
标签:
相关文章
最新发布
- Nuxt.js 应用中的 prerender:routes 事件钩子详解
- 【问题解决】Tomcat由低于8版本升级到高版本使用Tomcat自带连接池报错无法找到表空间的问题
- 【FAQ】HarmonyOS SDK 闭源开放能力 —Vision Kit
- 六、Spring Boot集成Spring Security之前后分离认证流程最佳方案
- 《JVM第7课》堆区
- .NET 8 高性能跨平台图像处理库 ImageSharp
- 还在为慢速数据传输苦恼?Linux 零拷贝技术来帮你!
- 刚毕业,去做边缘业务,还有救吗?
- 如何避免 HttpClient 丢失请求头:通过 HttpRequestMessage 解决并优化
- 让性能提升56%的Vue3.5响应式重构之“版本计数”