免责声明
免责声明
本公众号致力于安全研究和红队攻防技术分享等内容，本文中所有涉及的内容均不针对任何厂商或个人，同时由于传播、利用本公众号所发布的技术或工具造成的任何直接或者间接的后果及损失，均由使用者本人承担。请遵守中华人民共和国相关法律法规，切勿利用本公众号发布的技术或工具从事违法犯罪活动。最后，文中提及的图文若无意间导致了侵权问题，请在公众号后台私信联系作者，进行删除操作。
edr一直告警，技术初步排查找不到对应计划任务及开机启动，告警却每20分钟触发一次，寻求安服仔远程支持。
首先按照常规看的确没看到异常项
然后看看系统日志
日志显示主机从2020年1月12日之前已经被控，日志记录到12号凌晨五点，再往前就没有powershell日志，从12号开始一直通过powershell执行命令
从命令来看用的是无文件攻击技术
取其中一段日志内容Base64解码内容
分析内容发现，攻击者通过绑定WMI事件，注册stem_Anti_Virus_Core类，向system_Anti_Virus_Core的属性中写入恶意利用，即只要WMI服务运行，当监控到指定事件发生时，就会执行攻击者预先设定好的功能
使用工具查看wmi启动项为空
这时候不要放弃
使用系统自带的wbemtest.exe查看WMI测试器
Cmd直接输入wbemtest.exe回车
从枚举出来的类中滑到最后发现System_Anti_Virus_Core类有点异常
打开\.rootdefault:System_Anti_Virus_Core类，发现写入的异常属性
解码得到
从以上行为特征看符合挖矿程序行为，百度一下这个挖矿程序
根据这个挖矿程序的特征找到了 2020年1月16日建的ipsec Netbc
未发现多余的账号
未发现可疑的计划任务
未发现可疑的开机启动
原文始发于微信公众号（Lambda小队）：一次门罗币挖矿病毒的应急过程
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论