某部门系统主机中病毒分析

一、安全巡检

正在写着代码，我的电脑火绒软件提示有内网攻击，关于一个古老的漏洞：“永恒之蓝”。瞬间来了兴趣，不会现在仍然有电脑中这病毒吧，打开绿盟安全管理平台。根据IP查询记录，果然有很多漏洞。

发起程序：System
攻击方式：Exploit/EternalBlue
远程地址：192.168.XX.XX:64727
本地地址：192.168.XX.XX:445
防御结果：已阻止

二、扫描测试

端口扫描，发现开了很多高危端口。

先按照绿盟提示的“永恒之蓝漏洞NSA工具攻击事件”，结合当前主机系统版本是 win7 sp1，很可能是应为MS17-010漏洞导致被攻击。先检测下是否存在该漏洞，结果一查不但存在漏洞，还被植入了 DoublePulsar 后门。由此判断绿盟没有误报。DoublePulsar 是 NSA武器库的一种，专门利用windows 重量级漏洞进行攻击，然后远程控制主机。

根据IP地址段分析，不能准确确定该IP是哪个地方的主机，应该是子公司的电脑。赶紧汇报讨论后，决定远程渗透测试找出这台电脑。

用kali 执行渗透测试，成功。

竟然没有设置密码：

截取一张平面截图看看，通过该平面软件的信息定位到部门，是某系统工控机。

杀毒软件就是摆设，只报不杀，应该是没升级吧：

查看下目录，发现疑似使用第三方激活工具：

三、分析与处理

根据渗透测试，分析有以下几种情况可能该系统被攻击：

1、操作系统版本低，win7 sp1 出现高危漏洞，未及时升级打补丁；

2、使用了带病毒的激活工具，根据文件目录判断有使用第三方激活工具；

3、系统未设置密码，并且开启了135、139、445等危险端口；

4、杀毒软件未起到保护作用。

联系对方人员，确认了该主机是 某部门主机，并且没有设置密码。处理方式：

1、断网，避免该主机攻击其他电脑；

2、让相关人员联系厂家，对该电脑杀毒，并对操作系统升级，关闭高危端口；

3、我们通过绿盟继续重点观察该电脑网络活动。