深信服社区»版块 安全类 统一端点安全管理系统aES #原创分享#一次不成功的木马病毒溯源

#原创分享#一次不成功的木马病毒溯源

查看数: 30691 | 评论数: 234 | 收藏 12
关灯 | 提示:支持键盘翻页<-左 右->
    组图打开中,请稍候......
发布时间: 2021-3-21 21:56

正文摘要:

一:项目背景 2021-3-19,客户反映内网服务器中木马,事情从服务器不能提供服务开始,随即发现多台服务器内存在木马病毒二:客户诉求中木马的时间以及中毒途径三:溯源过程1、从发现的第一台服务器(IP为222)着手开始 ...

回复

新手537797 发表于 2024-7-29 10:54
打卡学习,感谢大佬分享!
ppg 发表于 2024-7-25 11:14
明确问题
        服务器存在木马病毒
客户诉求
        分析中毒过程
排查步骤
        1、确认中毒时间:查看病毒防护记录,找到病毒文件夹最后一次写时间
        2、检查EDR配置:病毒被信任,配置存疑
        3、查日志:浏览器下载日志、EDR安全日志(第1步应该就看过了),分析日志寻找蛛丝马迹,发现可疑站点
        4、对可疑站点溯源
        5、对木马进程溯源:从安全日志中获得进程名称,发现可疑地址,该中毒机器可能被控制
        6、联动查询:在其他安全设备上查询此可疑地址,确定影响范围,确定第一台中毒机器
        7、采取封堵动作:对可疑的url、端口、ip做封堵
        8、分析首台中毒机器:检查EDR防护为什么失效、查日志、查计划任务
总结
        首先确定问题和客户诉求,这点很重要
        排查过程总结
                1、明确边界:明确中毒时间、明确第一台中毒主机
                2、排查手段:查日志(安全设备的日志、远程桌面日志、系统事件日志)、查配置(配置是否正确,防护为何失效)、查计划任务、查进程和连接情况
                3、头脑风暴:查到的信息多而杂,需要逐条分析、交叉关联分析、假设分析,逐渐清晰攻击过程
                4、安全工具:whois、地址查询、进程查询等(代码分析可以找ai帮忙)
新手537797 发表于 2024-7-20 10:54
打卡学习,感谢大佬分享!
小明偷学 发表于 2024-5-22 18:39
非常好的实践教程,谢谢分享
奔走的公牛 发表于 2023-4-3 09:06
感谢分享笔记,学习了!
乀糖果 发表于 2023-1-30 17:14
感谢分享!学习一下啊。
lisx 发表于 2022-12-13 18:16
感谢楼主的无私分享。。。
朱墩2 发表于 2022-12-10 10:35

感谢楼主的精彩分享,有助工作!!!
蔺嘉宾 发表于 2022-12-10 10:30

感谢楼主的精彩分享,有助工作!!!