这是一个创建于 399 天前的主题，其中的信息可能已经有所发展或是发生改变。
最近在几台服务器上发现很多由 4 个随机字母组成的服务名，且服务属性中显示在 windows 目录下存在随机名组成的 exe 文件，不过这些 exe 都已经没有了。另外，部分 exe 存在计划任务。
执行过杀软和 EDR 的扫描，未见有什么异常。
有没有老哥知道这些是啥玩意儿？
执行过杀软和 EDR 的扫描，未见有什么异常。
有没有老哥知道这些是啥玩意儿？
第 1 条附言 · 2024-08-02 15:26:24 +08:00
后来在 360 恢复区找到了原始 exe ，发 md5 给深信服的分析了下，这玩意儿就是木马。属于 remcomsvc 类 hacktool 。
解决方法：直接用 HiBitUninstaller 把木马的服务、注册表和计划任务删掉；更新 windows 补丁。实测 360 、SEP 、深信服 EDR 都能查杀。
解决方法：直接用 HiBitUninstaller 把木马的服务、注册表和计划任务删掉；更新 windows 补丁。实测 360 、SEP 、深信服 EDR 都能查杀。
 |
1
klxyy 2024-08-02 13:00:22 +08:00
叫你在服务器里乱装软件
|
 |
2
yyzh 2024-08-02 13:03:32 +08:00 via Android
一般都是立即断网备份然后重装系统
|
 |
3
opengps 2024-08-02 13:04:06 +08:00
这玩意，每次都有新身份，每次用完都要变身，那很明显不是好东西
|
 |
4
lcorange 2024-08-02 13:06:11 +08:00
重装系统吧，windows 文件夹下面肯定不会有这种 exe 的
|
 |
5
sabermiao 2024-08-02 13:06:31 +08:00  1
明显是被 psexec 之类的方式打了
|
 |
7
yinmin 2024-08-02 14:33:37 +08:00 1
如果接手时间不长，把锅甩出去。直接向领导打报告，说明服务器有被入侵的痕迹，要求重装服务器。
你根本不知道黑客在哪个地方留后手，没必要折腾，时间长了就是自己背锅。 |
Select Language