记一次Emotet木马处理案例

2022-06-30 5,883

0x00、前言

用户的安全意识相对薄弱,面对来历不明的链接和附件,容易被诱导从而遭受木马的入侵。在日常使用过程中,有时电脑中病毒后会遇到木马查杀不掉的情况,应该是如何处理呢?下面分享一个Emotet木马处理的案例,希望对你有所帮助。

0x01、案例说明

从流量侧监控到多个用户终端频繁发送邮件,涉及大量收件人与发件人并带有附件,疑似感染木马,用户手动杀软查杀无果。

0x02、原因分析

既然杀软无法处理,那就只能手工来分析排查了,依靠系统运维的经验,首先需要对当前的异常现象进行分析,重点关注进程、启动项、网络等的异常情况。

这里,我们使用火绒自带的安全分析工具--火绒剑,进行手工分析排查。

(1)进程分析

使用用户账号登录,对用户的所有进程进行一项项排查,查看可疑的进程及其子进程。通过排查我们可以发现,regsv***.exe进程中存在异常加载的组件,无签名、无描述信息,临时文件路径。

(2)启动项分析

用户的登录启动项中,在这个列表中,我们看到存在两项异常的注册表登录启动项,而且文件路径还跟进程分析发现异常文件可以对应上,那么基本可以确认这个文件是有问题的。

(3)文件分析

将用户终端上获取到的恶意文件上传到微步云沙箱,通过威胁情报、静态和动态行为分析,发现恶意程序存在的异常。

样本一:

样本二:

在另一个终端获取的样本,就比较有意思了,发现反检测、反逆向、信息搜集等行为。

(4)处置建议

通过以上大致的分析,我们可以得到处置方案,使用用户账号进入用户登录环境,删除用户注册表下的异常启动项,然后删除用户临时文件路径下的异常文件,最后重启电脑就完事了。

0x03、防范措施

尽量避免打开来历不明的邮件、链接和附件,特别不要随意开启文档文件的宏功能。另外,对于个人用户来说,掌握一些安全工具和入侵排查的技巧,可以让你的电脑变得更安全。

本文作者:Bypass007

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/182194.html

Tags:
评论  (0)
快来写下你的想法吧!

Bypass007

文章数:94 积分: 218

一个网络安全爱好者,对技术有着偏执狂一样的追求。

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号