如何判断这台计算机是否是僵尸网络的一部分？

信息安全 杀毒软件 反恶意软件 僵尸网络
2021-08-31 08:10:07

我管理的一台计算机（在家庭中，而不是在企业中）在其启动中有一组奇怪的文件：bash.exe, curl.exe, uname.exe, sed.exe, rm.exe, tail.exe, cut.exe, awk.exe, cat.exe, chmod.exe, ls.exe, grep.exe等等。

我知道没有任何家庭成员cygwin在这台电脑上安装过任何不寻常的东西——它是一台普通的消费类电脑，带有 Win7 + Skype + Firefox。这就是为什么这些条目让我担心的原因。据我所知，这台计算机看起来受到了损害。

  • 我检查了已安装程序的列表（在控制面板中），那里没有什么异常。这台机器实际上是“奶奶的笔记本电脑”，所以我绝对确定没有用户安装任何特别的东西。如果有的话，这以某种方式来自“外部”。
  • 我安装了 McAfee 并进行了全面扫描 - 没有出现任何问题。
  • 我还没有尝试过像CCleaner这样的工具，但也许这会揭示一些东西。

如何确认这台计算机是否已被入侵，以及如何清理它？

如果它不是僵尸网络，那么它是什么？

我知道完全重新安装是最好的，我正准备这样做。但我想把这种情况当作一个学习的机会。

4个回答

为了识别是否存在僵尸网络感染，请关闭所有正在运行的发送请求的程序（浏览器、游戏、Skype 等），您可以使用wireshark检查是否存在异常流量。

对于个人计算机检查，您可以尝试Hijackthis或DDS。获取其中任何一个的日志并分析任何可疑程序（您可以谷歌搜索程序的文件名和它应该位于的路径）。

您可以用来对文件进行检查的网站是systemlookup.com。只需检查搜索栏上的文件名并输入您要搜索的文件的文件名。

您也可以通过在 systemlookup 的搜索栏中选择 CLSID 并将 CLSID 复制粘贴到搜索栏中并搜索来检查文件的 CLSID（可以在 Hijackthis 的日志中找到）以验证文件的有效性。

注意：以上两个程序不是病毒清除工具，而是检查工具。

您可以自行删除潜在的恶意软件，但风险自负，并且当且仅当您非常确定它是恶意软件（通过对文件进行多次检查）时才这样做。

但是，如果您不具备相关知识或在删除恶意软件方面需要任何帮助，您可以在bleepingcomputer寻求帮助 如果您确实需要 bleepingcomputer 帮助，请在发布前阅读此内容

任何有能力的病毒或恶意软件都会注意停用大多数可以安装在机器上并可能检测到恶意软件存在的防病毒软件。为了进行更好的测试，请将硬盘插入另一个（干净的）系统，该系统将运行防病毒软件。

这有点冒险，因此您可能需要添加一个虚拟机层：从 CD-R 或 DVD（未安装在磁盘上的“实时系统”）引导 Linux 系统，然后逐字节执行整个可能被感染的磁盘的副本，作为一个大文件。在另一个系统上，构建一个虚拟机并将受感染的磁盘挂载为“磁盘映像”（不是 VM 的主引导磁盘，而是一个额外的磁盘）。然后，在 VM 中运行分析工具。最好关闭 VM 的外部网络功能，以遏制任何感染（如果您的 VM 管理器是VirtualBox，请使用内部网络）。

至于完整的格式化和重新安装，嗯，你是对的，这是一个不可避免的要求。

CCleaner 不会真正为您提供有关可能感染的任何信息，但它的作用是快速简单地清除病毒/恶意软件等通常隐藏的临时文件夹和文件。

根据您发现的文件的性质，这似乎不仅仅是一种“典型”病毒......但我将分享一些关于查看/检查内容的提示。

  • 检查您的服务是否有任何异常。（服务.msc）
  • 检查事件查看器日志是否有任何异常活动。(eventvwr.exe)
  • 检查 msconfig 中的启动选项卡是否有任何不应该存在的程序。
  • 检查任务管理器中运行的所有进程并协调每个进程。谷歌搜索在这里派上用场。
  • 检查任务调度程序 (Taskschd.msc) 是否有任何异常任务。
  • 运行“netstat -ABN”（区分大小写）或使用 Cports 之类的程序查看机器正在连接的内容。
  • 检查您的浏览器是否有任何可疑的插件/扩展。在 IE 中，转到 Internet 选项 > 程序选项卡 > 管理插件 > 确保并更改文件管理器以显示所有插件，而不仅仅是当前加载的插件。

我怀疑在这种情况下是否会安装任何防病毒软件。尝试使用http://security.symantec.com等在线工具运行安全扫描

其它你可能感兴趣的问题
上一篇Mac Book Pro 上的访客用户突然开启。我被黑了吗？ 下一篇来自欺骗性 IP 的暴力登录尝试