查看本地用戶，未發(fā)現(xiàn)異常：
打開任務(wù)管理器，發(fā)現(xiàn)可疑進(jìn)程F.exe：
利用wmi查看進(jìn)程信息，發(fā)現(xiàn)其位置在開始菜單啟動(dòng)項(xiàng)中：
C:\Users\gy\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
同時(shí)，通過(guò)任務(wù)管理器，發(fā)現(xiàn)windows臨時(shí)文件夾中也有該程序
通過(guò)測(cè)試可知F.exe為勒索病毒程序：
查看網(wǎng)絡(luò)狀態(tài)，除向日葵遠(yuǎn)控客戶端外，未發(fā)現(xiàn)其余異常：
檢查注冊(cè)表，發(fā)現(xiàn)病毒文件被設(shè)置為開機(jī)啟動(dòng)
文件加密時(shí)間為20點(diǎn)29分
查看安全日志，發(fā)現(xiàn)從20點(diǎn)8分到32分有一串來(lái)自同網(wǎng)段kali（10.10.10.3）遠(yuǎn)程爆破記錄
但并未發(fā)現(xiàn)爆破成功的日志（4624，類型3）
查看對(duì)應(yīng)時(shí)間段應(yīng)用日志，未發(fā)現(xiàn)遠(yuǎn)程桌面使用報(bào)告，但有大量跟系統(tǒng)安全相關(guān)的認(rèn)證日志：
查看對(duì)應(yīng)時(shí)間段系統(tǒng)日志，發(fā)現(xiàn)向日葵使用痕跡：
加密發(fā)生前五分鐘，向日葵服務(wù)被安裝
查看當(dāng)天的向日葵日志：
發(fā)現(xiàn)在加密前五分鐘啟用了向日葵連接
發(fā)現(xiàn)向日葵RCE測(cè)試payload，攻擊端為10.10.10.7，勒索病毒來(lái)源為10.10.10.3
總結(jié)：文章來(lái)源：http://www.zghlxwxcb.cn/news/detail-458260.html
攻擊者先拿下了同網(wǎng)段的兩臺(tái)主機(jī)（10.10.10.3和10.10.10.7），先使用10.10.10.3對(duì)受害機(jī)（10.10.10.11）進(jìn)行了爆破，未成功。然后通過(guò)端口掃描發(fā)現(xiàn)了受害機(jī)上的向日葵服務(wù)，并通過(guò)向日葵RCE控制受害主機(jī)下載并運(yùn)行了存放在10.10.10.3上的勒索病毒。文章來(lái)源地址http://www.zghlxwxcb.cn/news/detail-458260.html
到了這里，關(guān)于記一次Windows勒索病毒應(yīng)急響應(yīng)實(shí)戰(zhàn)的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
