Powershell无文件挖矿查杀方法

Posted 2020-11-28 御用闲人

病毒现象

1. 服务器出现卡顿、CPU飙升
2. 和其他主机的445端口，建立起大量的连接
3. 存在大量Powershell进程

病毒处置

1. 封堵445端口; 或打永恒之蓝漏洞补丁(https://wukungt.github.io/2019/03/05/Windows%E8%A1%A5%E4%B8%81%E6%9B%B4%E6%96%B0/)、加强主机密码且密码各不相同。

2. 在AF等设备添加规则，限制访问下列域名和IP：
   web4.olukotun.info
   update.7h4uk.com
   info.7h4uk.com
   d4uk.7h4uk.com
   111.90.145.52
   185.234.217.139

3. 使用Autoruns，删除Powershell的WMI：
   

4. 使用Autoruns，删除任务计划 WindowsLogTasks 和 System Log Security Check。
   

5. 使用ProcessHacker，结束如下进程(选中后，右键点击Terminate即可结束进程)：
   a. powershell.exe进程
   b. regsvr32.exe进程
   c. cohernece.exe进程
   

6. 以上步骤结束后，使用杀软全盘查杀病毒文件