挖矿病毒应急思路
1. 遏制
当发现病毒时，首要任务是阻止其进一步扩散，并保留现场证据
- 确认事件：通过告警、资源占用异常（CPU、GPU 飙升）、网络流量异常、可疑进程等现象，确认是挖矿病毒事件
- 隔离受感染主机：
- 物理隔离：最直接的方式，拔掉网线或断开 Wi-Fi 连接
- 网络隔离：在交换机或防火墙上，将受感染主机的 IP 或 MAC 地址加入黑名单，或将其移动到隔离的 VLAN 中
- 保留现场：不要急于重启或关机，这会丢失宝贵的内存数据
2. 取证与分析
这是溯源和清除的关键环节
- 内存取证：
- 使用 Volatility 等工具对受感染主机的内存进行镜像
- 分析内存镜像，寻找恶意进程、网络连接、注入的 DLL、rootkit 痕迹等
- 系统取证：
- 进程分析：使用 Process Explorer 或 Process Monitor，查找 CPU 或 GPU 占用率异常的进程。注意那些名字可疑或隐藏在系统目录下的进程
- 网络分析：使用 Wireshark 或 TCPView，检查是否有异常的网络连接，特别是连接到矿池的 IP 地址或域名
- 文件分析：查找可疑的文件，如挖矿程序、配置文件、定时任务脚本等。注意文件的时间戳，并寻找隐藏或伪装的文件
- 启动项与定时任务：检查系统的自启动项（注册表、启动文件夹）和定时任务（
schtasks），找出病毒的持久化机制 - 日志分析：
- 系统日志：检查是否有异常的登录记录、服务启动失败等
- 安全日志：查看是否有暴力破解、提权等事件
- 恶意文件分析：
- 静态分析：使用反汇编工具或在线沙箱（如 VirusTotal），查看恶意文件的哈希值、字符串、行为特征等
- 动态分析：在隔离环境中运行恶意文件，观察其行为，包括创建或修改哪些文件、连接哪些 IP 地址、如何进行提权等
3. 彻底清除与修复
基于分析结果，制定详细的清除计划
- 清除恶意程序：
- 根据分析结果，终止恶意进程
- 删除所有相关的恶意文件、启动项和定时任务
- 清除注册表中与病毒相关的键值
- 修复漏洞：
- 如果病毒是通过系统漏洞（如永恒之蓝）传播的，立即打上相应的补丁
- 关闭不必要的端口和服务
- 修改弱口令，强制所有用户使用强密码
- 全网扫描：
- 使用企业级的杀毒软件对全网进行扫描，确保没有其他被感染的主机
- 对所有主机进行安全基线检查，加固配置