Powershell 无文件挖矿病毒处置

Powershell 无文件挖矿病毒处置

      前段同事抱怨服务器访问的很慢，一开始我不在意，直到自己有一天去下个东西，发现卡的不行，赶紧查了下。

      服务器有装是EDR的，先上平台看了下终端情况。

       哦豁，CPU和内存爆了，直接远程到服务器上面去看。

      CPU 100% ,内存100%,看来有挖矿。

  

      上processhacker，发现有多个powershell进程在跑。占满了CPU资源

       查看网络连接，定位到挖矿的地址

         

       微步上面还没有标记成恶意地址，但是有相关的IOC信息。

       检查启动项，有一堆异常的powershell计划任务，上面都是挖矿相关的恶意代码

       dump了其中一个进程的信息，发现了通信地址的具体URL  

http://207.1**.225.82

       访问过去是ngnix

       直接访问是下载不了的，按照内存dump出来的恶意代码格式，构造URL成功下载到病毒文件，看样子应该是驱动人生。

       二进制文件，沙箱跑不出什么结果。

       第三次方杀软只有两家能检测出来

      powershell无文件挖矿，直接删除前面发现的计划任务处理，重启之后服务器恢复了正常

   

     按道理，装了EDR应该是可以防护powershell这类挖矿的，不应该中毒啊。后面发现了问题了：

     1. EDR平台没有锁定策略，导致EDR客户端和平台策略不一致。

      2. 服务器没打MS17-010补丁

   

      3. 内网还有SMB爆破，其实在内存dump出来的代码里面已经有密码字典了。

PS： 截止发帖的时候又有客户中了个这个病毒了，通信地址一模一样的，但是现在网站已经打不开了应该是换地址了,看来IOC不能靠IP还是得靠恶意域名。