安全技术人员发现内网主机与外部互联网异常通讯，CPU使用率高达100%。经分析，v6w5m43T.exe可疑进程占用大量资源，与恶意IP建立连接。使用火绒剑、Autoruns等工具定位并删除恶意文件和计划任务。最终，通过安装安全软件并执行全盘扫描清除挖矿病毒，修复方法包括清除病毒文件、恶意计划任务及开机启动项。
应急主机排查
近日，我们的安全技术人员安全检查过程中发现一组内网主机存在与外部互联网地址异常通讯行为，以下是对其中一台主机挖矿应急处置分析。
查看Windows任务管理器，发现该主机的CPU使用率为100%。结合实际业务情况初步判断该主机存在异常。
进一步查看使用率过高的进程，发现名称为v6w5m43T.exe可疑执行文件占用大量CPU使用率，并且powershell.exe进程被大量调用。
使用火绒剑对v6w5m43T.exe可疑可执行文件进行详细分析，可以看到该文件所在执行位置的绝对路径，并且存在与外部互联网地址建立连接。
发现恶意程序与外部互联网建立连接的IP地址，使用通过微步在线溯源IP信息。
及时切断网络连接，进行网络隔离。
使用Autoruns工具检查该主机开机自动加载的所有程序，发现可疑任务。
打开“任务计划程序”，发现存在恶意定时任务。
定时任务：系
最低0.47元/天 解锁文章
扫一扫
2万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
