应急背景

运维人员准备通过windows共享文档方式为公司员工下发软件安装，开启完后忘记关闭了，而且其他人可以对共享文件夹下的文件进行删除替换修改，有恶搞的人就通过共享文件夹的方式，捆绑了病毒在一些文件中，导致公司员工下载安装的时候中了病毒。 症状如下图，右键盘符出现Auto 上网查发现是auto病毒，首要特征就是盘符下存在autorun.inf文件，待会分析就会发现这个文件，而且每次双击盘符都会根据autorun.inf文件重新运行文件中指定的程序文件，也就是说会重新感染一次病毒.

分析样本

在共享文件夹中拿到样本后先丢到虚拟机对样本进行行为监控，看下一具体做了什么手脚。 监控工具使用D盾： https://pan.baidu.com/s/13hCSYpV5Mn_1JMzy4nSkSQ?pwd=kott 。

---

开启监控

D盾可以打开文件监控，主要看病毒做了什么，重点看创建了什么文件 就这就可以启动监控了 。

感染病毒

把病毒样本丢进虚拟机，记得把虚拟机网卡模式设置成仅主机模式，避免有的病毒把物理机也感染了.

查看监控

双击后很明显看到有两个诡异的文件被创建了 。

线索卡： 1.c:\\autorun.inf 2.c:\\system32\dllh0st.exe 。

分析病毒行为

autorun.inf分析

首先查看一下autorun.inf文件，右键打开盘符，这里也可以看到确实是已经感染了病毒了 c盘没看到就知道肯定是做了文件隐藏了，只能上工具了 由于本次实验使用的是WinServer2003，能够使用XueTr，在分析查杀过程就直接上XueTr了。 XueTr工具下载地址： https://pan.baidu.com/s/1ZT-80vNkQs6gWOuvLAxTcg?pwd=d55s 我们选择将文件拷贝出来 查看文件内容，我们要知道autorun.inf的作用是：允许在双击磁盘时自动运行指定的某个文件 ，那也就是说双击盘符就会再次感染病毒，可以看到这个文件是在C:\\Windows\System32文件夹下，那就印证了我们d盾监测到的行为，确实没错。 但是这里是DLLHOST.exe，不是d盾中写的dllh0st.exe，具体原因不知道，但是还是以DLLHOST.exe为准，因为是病毒对应的文件。 修改线索卡↓ 。

线索卡： 1.c:\\autorun.inf 2.c:\\system32\DLLHOST.exe 。

2.异常连接

没有发现对外连接的异常 。

3.进程排查

打开进程管理查看，有大写的DLLHOST，这个已经确认了是病毒了，但是小写的dllhost进程我们也不打包票是正常，但网上也能查到这个文件是系统原本就有的，所以就先关注大写的进程。 查看一下进程对应服务，没有发现异常服务，就只有一个进程运行 。

tasklist /svc | findstr "4036"

那么就上工具进行分析了 。

查看进程模块就确认了确实是病毒，只有一个异常进程模块。 后面就继续看另外的dllhost，也没有发现异常 然后这里是要跟进进程文件的，或者看进程对应的文件路径，这里忘记截图了，显示的是DLLHOST.exe.

线索卡： 1.c:\\autorun.inf 2.c:\\system32\DLLHOST.exe 。

4.启动项排查

xuetr打开启动项就看到病毒创建的启动项了 打开注册表查看，同样发现有写入注册表 。

线索卡： 1.c:\\autorun.inf 2.c:\\system32\DLLHOST.exe 3.启动项 4.注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows 。

查杀

分析完毕，根据拿到的线索开始查杀 。

线索卡： 1.c:\\autorun.inf 2.c:\\system32\DLLHOST.exe 3.启动项 4.注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows 。

1.先删掉autorun.inf文件

打开盘符记得使用右键，然后打开，不要直接双击，否则会再次感染一遍 没有发现文件，之前分析的时候也说了，文件被隐藏了，只能用xuetr工具进行删除 像病毒相关的这种文件，最好先勾选删除文件且阻止再生->然后再次右键强制删除 。

2.使用xuetr杀掉进程

这里我观察到他是删掉我dllhost文件夹下的DLLHOST.exe，也就是他进程使用的是我复制进来的病毒源，所以第一次的进程运行起来就是我的病毒源，xuetr根据进程删除的文件就不是system32那个文件夹下的文件删除掉，这里简单分析一下可以知道是掩耳盗铃，我们重启后就会自动找到system32那个文件，因为进程重启后会重新运行，启动项对应的DLLHOST都是对应着system32那个文件夹下的程序文件。 所以我们要去c:\\system32\DLLHOST.exe下进行删除，但是这个进程对应的文件是DLLHOST.exe，文件也是被隐藏了的，所以还是要用专业工具进行删除 。

3.启动项删除

先定位到注册表 因为不知道load是不是系统自带的目录项，所以这里最好是删掉值即可 接着回到启动项查看，发现已经不见了，如果还在DLLHOST的话就需要删除.

重启排查

现在打开盘符已经没有auto了，可以正常双击盘符进入 。

入侵排查正常流程

首先对之前病毒操作了的行为进行再次排查 。

• 进程无异常(DLLHOST) 。

• c:\\Windows\System\DLLHOST.exe不存在 。

• 启动项，正常（注册表正常） 。

---

接着其他的入侵排查了 。

• 异常连接（netstat -ano）
• 账户排查（net user）
  直接用d盾看了，这里还可以去注册表看有没有隐藏账户
  
• 服务排查
• 定时任务

---

应急完成，本次算是对病毒应急的一次小小的了解，auto病毒也很久了，主要是通过u盘传播，因为有的人他会插上u盘后就双击打开，那么这时候就会感染上病毒了，所以通过本次实验要提高警戒，u盘平时最好还是右键打开的方式进入比较安全.

最后此篇关于Windows应急响应-Auto病毒的文章就讲到这里了,如果你想了解更多关于Windows应急响应-Auto病毒的内容请搜索CFSDN的文章或继续浏览相关文章，希望大家以后支持我的博客！ 。