扫码领资料

获网安教程

# 我的应急响应回顾总结 ## 应急响应的定义 利用百度的概括来说就是针对各种意外、突发事件的准备以及事件发生后所采取的措施。其根本意义在于将该事件造成的损失降到最低。## 心得 在某...

文章来源: https://forum.butian.net/index.php/share/801文章作者：淡淡的回忆如有侵权请您联系我们，我们会进行删除并致歉

我的应急响应回顾总结

应急响应的定义

心得

客户关心的问题

1、数据怎么恢复？

2、怎么感染的，通过什么途径感染的？

3、多久可以处理好？

4、需要做那些处置才能避免感染？

概述

勒索病毒处置流程

1、了解当前情况

2、临时处置

3、现场处置

信息收集并分析

感染后的界面

可以清除的看到桌面出现了一篇勒索信件，然后就是桌面的文件、应用全部被加密了
仔细看一下，文件后缀：[email protected]

然后我们可以直接百度一下该后缀，或者提示的这几个邮箱
后缀并没有得到有用信息，然后看看邮箱

可以看到邮箱的搜索，提示了该勒索病毒的一些信息。根据这些，我们可以进一步了解该病毒的信息。

文件排查

在进行排查之前，我们可以先提取一份原始系统的日志文件。我这里用到的是某某信的SkylarTS.exe

点击被加密文件的属性信息，我们查看文件的修改时间。通过该时间，我们可以定位当前主机文件被加密的时间，基本也是受到感染的时间了。

一般情况下感染了病毒的主机，杀软基本都不能用了，此时需要重装一下杀软，对系统进行清理，一般情况下杀软只能扫描个大概，还需要结合手工排查。

可以看到查杀结果，前两个是运行主文件后生成的病毒文件，第三个是我放在桌面的样本文件，但实际情况中病毒主文件不会被直接查杀出来，生成的其他文件也不会被全部扫描出来的。
我们看一下c盘，能直观看出的除了扫描出来的还有一个jpg的信件，实际情况下c盘可能是各种“神仙”。

然后就是temp目录（windows产生的临时文件），实际环境中都会有一些异常文件。

输入：%temp%

然后就是查看最近使用的文档快捷方式，里面可能有触发该病毒文件的线索。
快捷打开：%userprofile%recent

可以看到，确实出现的我们的样本目录，也就是触发地方。找到样本文件后，对文件进行提取。一般情况下是直接扔到云沙箱，不同安全公司也许规定不一样，毕竟病毒样本也是一种财富，但始终会提供一个类似的东西进行样本分析。

进程排查

查看开机启动项是否有异常文件
开始->运行->msconfig

若存在异常文件，找到文件位置进行处置

然后可以看一下任务管理器，是否存在异常的进程。

找到异常进程，进行样本提取。

文件和进程的排查，主要是为了找到样本文件，找到之后结合沙箱的分析结果进行进一步处理。

可以看到有个持久化的行为，根据提示到注册表对应路径去找一下，然后清理。
然后还有一个说明域名和ip的地方。

对这个域名和ip做一下威胁分析，后续方便给客户进行解释，以及报告的输出。

网络连接

找到病毒文件后就开始考虑如何进行清理了，利用cmd命令来查看当前网络的连接情况。
大部分的病毒都是依赖网络进行传播和复制的，从而感染局域网中的终端，所以网络连接这一块也是排查点。
netstat -ano 可查看当前网络连接情况

如果连接太多，可进一步筛选查找建立连接的网络，查看有无异常连接
netstat -ano | findstr established

如果有发现异常连接的，我们可以通过pid编号定位具体进程。

比如定位pid为648的进程。
Tasklist | findstr 648

此时又可以通过任务管理器或者全局搜索定位到该文件具体位置，或者同样的使用cmd命令去定位。
wmic process | findstr “svchost.exe”

系统信息排查

查看系统信息 cmd->systeminfo
这里主要查看系统打了那些补丁文件，看一下常见的永恒之蓝、永恒之黑等远程命令执行漏洞补丁是否打了。

首先这类型的病毒大部分都是查杀不干净，杀了又出现。这个时候就要想到任务计划了，去看看任务计划是否被创建了什么任务。

其次就是注册表的任务，这个一般情况下在以下这个目录。

然后再看看是否被创建其他账号
常见的就是命令行 net user 当发现其他账号时要与客户进行确认是否为他们创建，如果不是客户的账号直接删除。

同时，利用命令query user可查看当前系统的会话，或者任务管理器查看当前在线用户也可以。

使用logoff可强制该用户下线
当然不排除会被创建隐藏账号，一个是到控制面板找到系统账号管理的地方。

还有就是注册表，不管怎么隐藏账号，注册表始终有痕迹
注册表路径：HKEY_LOCAL_MACHINE/SAM/SAM
直接打开注册表，点到该路径你会发现是空的，此时需要配置一下，如下：
找到 SAM，鼠标右键选择 权限，选择 administrator，将权限勾选为 完全控制，然后确定。

然后关闭注册表，重新打开，此时sam目录下就出现了其他目录，依次展开，找到users目录下就可以找到系统当前存在的账号。

查看环境变量，确认是否存在异常的变量。

日志分析

前期有提取日志就直接根据提取的日志文件进行分析（提取日志一方面是方便自己分析，鬼知道客户现场的pc端是打开这种东西是“ppt”还是“慢镜头”。还有就是方便给到二线，这种一般是团队协助，需要求助的时候人家肯定是要日志的），也可以直接在pc上进行分析，这里按照pc路径来截图。
打开日志：开始->运行->eventvwr

然后点到安全日志，查看爆破、登录情况，在详细信息中还能对登录ip进行查看，当然，如果日志太多，可以导出利用编辑器进行筛选查看。

解决办法

4、加固

常见感染途径

节点

声明：⽂中所涉及的技术、思路和⼯具仅供以安全为⽬的的学习交流使⽤，任何⼈不得将其⽤于⾮法⽤途以及盈利等⽬的，否则后果⾃⾏承担。