这是一个创建于 131 天前的主题，其中的信息可能已经有所发展或是发生改变。
最近在几台服务器上发现很多由 4 个随机字母组成的服务名，且服务属性中显示在 windows 目录下存在随机名组成的 exe 文件，不过这些 exe 都已经没有了。另外，部分 exe 存在计划任务。
执行过杀软和 EDR 的扫描，未见有什么异常。
有没有老哥知道这些是啥玩意儿？
执行过杀软和 EDR 的扫描，未见有什么异常。
有没有老哥知道这些是啥玩意儿？
第 1 条附言 · 131 天前
后来在 360 恢复区找到了原始 exe ，发 md5 给深信服的分析了下，这玩意儿就是木马。属于 remcomsvc 类 hacktool 。
解决方法：直接用 HiBitUninstaller 把木马的服务、注册表和计划任务删掉；更新 windows 补丁。实测 360 、SEP 、深信服 EDR 都能查杀。
解决方法：直接用 HiBitUninstaller 把木马的服务、注册表和计划任务删掉；更新 windows 补丁。实测 360 、SEP 、深信服 EDR 都能查杀。
8 条回复 • 2024-08-02 15:27:30 +08:00
 |
1
klxyy 131 天前
叫你在服务器里乱装软件
|
 |
2
yyzh 131 天前 via Android
一般都是立即断网备份然后重装系统
|
 |
3
opengps 131 天前
这玩意，每次都有新身份，每次用完都要变身，那很明显不是好东西
|
 |
4
lcorange 131 天前
重装系统吧，windows 文件夹下面肯定不会有这种 exe 的
|
 |
5
sabermiao 131 天前  1
明显是被 psexec 之类的方式打了
|
 |
7
yinmin 131 天前 1
如果接手时间不长，把锅甩出去。直接向领导打报告，说明服务器有被入侵的痕迹，要求重装服务器。
你根本不知道黑客在哪个地方留后手，没必要折腾，时间长了就是自己背锅。 |
Select Language