Windows应急响应-灰鸽子远控木马

应急背景

历某今天刚入职公司，拿到公司电脑后准备下载一些接下来工作中要用的办公软件，他就去某度上直接搜索，由于刚入职，兴奋的他并没有仔细看是否为官方下载，下载下来后也是无视风险双击安装，但是他发现安装完成后，安装包自动消失，且在电脑上也没有对应的程序可启动，他这时候意识到可能是中病毒木马了，喊来安全人员竹某来帮他排查一下。
竹某了解情况后开始下面的应急操作。

木马查杀

1.查看异常连接

#findstr "ESTABLISHED"表示查看已建立连接的ip&&端口
netstat -ano | findstr "ESTABLISHED"

正常真实背景中需要拿ip去查看归属地是否属于公司的，但是这里我自己搭建的环境就忽略了。

2.根据端口号查看对应进程文件

开始查找进程文件，这里直接用windows查找没找到，只找到一个类似的，那么基本可以确定做了一个文件隐藏，这时候只能上工具了。

这里本来是要用xuetr，但是xuetr在我这个win7中用不了了，如果能用的话最好还是上xuetr，这个工具还是挺吊的，但是现在网上好像找不到，没了。
我们可以使用PChunter这款工具能看到隐藏的文件，同时还能帮你排查进程，PChunter用的比较多，还是挺牛的，但是后面排查进程这些我会更多的用其他工具来辅助，因为最近在了解学习其他工具。
PChunter工具分享地址：https://pan.baidu.com/s/1_OMmoe5aFGDu3–q0u94pw?pwd=w3rb
打开PChunter后其实你也会发现他存在没有官方签名的进程模块，再次印证了他的可疑性。

然后就可以定位文件了

然后来到下图位置，这里就能看到文件了

这里先不删除，先右键拷贝出来，保留样本。

丢到沙箱上跑，就可以确定是木马后门了。

线索卡：
1.已确定了木马后门以及他的文件路径

3.排查异常服务

接下来我会使用Process Hacker和微软自带的Process Explorer。
Process Hacker工具分享地址：
https://pa