Windows应急响应-Auto病毒

应急背景

运维人员准备通过windows共享文档方式为公司员工下发软件安装，开启完后忘记关闭了，而且其他人可以对共享文件夹下的文件进行删除替换修改，有恶搞的人就通过共享文件夹的方式，捆绑了病毒在一些文件中，导致公司员工下载安装的时候中了病毒。
症状如下图，右键盘符出现Auto

上网查发现是auto病毒，首要特征就是盘符下存在autorun.inf文件，待会分析就会发现这个文件，而且每次双击盘符都会根据autorun.inf文件重新运行文件中指定的程序文件，也就是说会重新感染一次病毒。

分析样本

在共享文件夹中拿到样本后先丢到虚拟机对样本进行行为监控，看下一具体做了什么手脚。
监控工具使用D盾：
https://pan.baidu.com/s/13hCSYpV5Mn_1JMzy4nSkSQ?pwd=kott

---

开启监控

D盾可以打开文件监控，主要看病毒做了什么，重点看创建了什么文件

就这就可以启动监控了

感染病毒

把病毒样本丢进虚拟机，记得把虚拟机网卡模式设置成仅主机模式，避免有的病毒把物理机也感染了。

查看监控

双击后很明显看到有两个诡异的文件被创建了

线索卡：
1.c:\\autorun.inf
2.c:\\system32\dllh0st.exe

分析病毒行为

1.autorun.inf分析

首先查看一下autorun.inf文件，右键打开盘符，这里也可以看到确实是已经感染了病毒了