应急响应之Windows系统挖矿木马处置流程

这是一篇关于挖矿木马处置流程的思维导图，主要内容包括：4事件处置，5事件防御，3信息收集分析，2临时处置，1事情状态判断。本脑图详尽地概述了从安全设备告警的初步识别，到深入信息收集分析，再到紧急临时处置及最终事件加固与防御的全过程。每一步骤都旨在迅速定位威胁、切断传播途径、消除安全隐患，并构建长期的安全防护机制。

挖矿木马处置流程

• 1事情状态判断
  • 了解现状
    • 安全设备告警？
    • CPU使用率突然很高？
    • 内网主机挂了？
  • 了解发病时间
    • 设备告警最早发生时间？
    • CPU使用率突然很高的开始时间？
    • 主机宕机时间？
    • 了解事件发生时间，后面以此时间点做排查重点
  • 了解系统架构
    • 服务器类型、网络拓扑等
      • 服务器类型：windows、linux
      • cms：dedecms、phpcms、trs cms等
      • 中间件、容器、框架、数据库：tomcat、iis、apache、weblogic、struts、mysql等
      • 脚本语言：asp、php、jsp等
      • 业务架构：如前端网页内容是否是后端通过ftp上传的（新闻网偏多）等
      • （这里了解的信息要尽量详细，为下一步分析收集足够证据）
  • 确认感染者
    • 操作系统版本 管理后台IP地址 中间件类型 中间件版本 数据库类型 数据库版本 应用URL
    • 应用端口 储存设备类型 储存设备型号 web框架 中间件版本 第三方组件
• 2临时处置
  • 断网或ACL隔离
  • 结束恶意进程
  • 提取木马样本反馈二线专家
    • 后门排查根除
      • 这一步很重要
• 3信息收集分析
  • 文件排查
    • 开机启动有无异常文件
    • 各个盘下的temp(tmp)相关目录下查看有无异常文件 ：Windows产生的临时文件
    • Recent是系统文件夹，里面存放着你最近使用的文档的快捷方式，查看用户recent相关文件，通过分析最近打开分析可疑文件
    • 根据文件夹内文件列表时间进行排序，查找可疑文件。当然也可以搜索指定日期范围的文件及文件
    • 查看文件时间，创建时间、修改时间、访问时间，黑客通过菜刀类工具改变的是修改时间。所以如果修改时间在创建时间之前明显是可疑文件
  • 进程排查
    • 使用 netstat -ano 命令查看目前的网络连接，定位可疑的 ESTABLISHED
    • 根据 netstat 命令定位出的 PID 编号，再通过 tasklist 命令进行进程定位 tasklist | findstr "PID"
    • 运行输入 wmic ，cmd界面 输入 process，可查看对应进程及其路径
    • 很多种类的病毒都依赖网络进行传播和复制，并感染局域网中的大量终端。可以通过开放端口进行分析，有助于病毒对象的确认
  • 系统信息排查
    • 【开始】 >【运行】，输入systeminfo，查看系统信息
    • 查看环境变量的设置
      • temp变量的所在位置的内容；后缀映射PATHEXT是否包含有非windows的后缀；有没有增加其他的路径到PATH变量中(对用户变量和系统变量都要进行排查)
  • 日志排查
    • 简介
      • 系统日志
        • 记录操作系统组件产生的事件，主要包括驱动程序、系统组件和应用软件的崩溃以及数据丢失错误等。系统日志中记录 的时间类型由Windows NT/2000操作系统预先定义。
        • 默认位置： %SystemRoot%\System32\winevt\Logs\System.evtx
      • 应用程序日志
        • 包含由应用程序或系统程序记录的事件，主要记录程序运行方面的事件
        • 默认位置：%SystemRoot%\System32\Winevt\Logs\Application.evtx
      • 安全日志
        • 记录系统的安全审计事件，包含各种类型的登录日志、对象访问日志、进程追踪日志、特权使用、帐号管理、策略变更、系统事件。安全日志也是调查取证中最常用到的日志。
        • 默认位置：%SystemRoot%\System32\Winevt\Logs\Security.evtx
    • 查看
      • 按 "Window+R" ，输入 ”eventvwr.msc“ 也可以直接进入“事件查看器”
      • 在“开始”菜单上，依次指向“所有程序”、“管理工具”，然后单击“事件查看器”
  • 工具排查
    • 参考《1-Windows入侵检测（常规检查）》）
• 5事件防御
  • 安装杀软，对被感染机器进行安全扫描和病毒查杀；
  • 对系统进行补丁更新，封堵病毒传播途径；
  • 制定严格的口令策略，避免弱口令；
  • 结合备份的网站日志对网站应用进行全面代码审计，找出攻击者利用的漏洞入口进行封堵；
  • 配合全流量设备（如天眼）对全网中存在的威胁进行分析，排查问题；
• 4事件处置
  • 中毒主机
    • 断网或ACL隔离
    • 结束恶意进程
    • 提取木马样本反馈二线专家
    • 删除木马
  • 正常主机
    • 补丁修复
      • 在线补丁
      • 离线补丁
    • 事件加固
      • 安全软件防护
        • 开启实时防护
        • 及时更新病毒库/规则库