【應(yīng)急響應(yīng)】要求如下：在虛擬機(jī)內(nèi)（一定要做好網(wǎng)絡(luò)隔離，防止病毒逃逸）解壓wannacry2.0病毒，管理員運(yùn)行mssecsvc.exe。在虛擬機(jī)內(nèi)（一定要做好網(wǎng)絡(luò)隔離，防止病毒逃逸）解壓wannacry2.0病毒，管理員運(yùn)行mssecsvc.exe。在虛擬機(jī)內(nèi)（一定要做好網(wǎng)絡(luò)隔離，防止病毒逃逸）解壓wannacry2.0病毒，管理員運(yùn)行mssecsvc.exe。小工具介紹PCHunter是一個(gè)強(qiáng)大的\t"/qq_45397014/article/details/_blank"Windows系統(tǒng)信息查看軟件，也是手工殺毒輔助軟件。軟件可以查看內(nèi)核文件、驅(qū)動(dòng)模塊、隱藏進(jìn)程、注冊(cè)表等等信息，方便系統(tǒng)工程師在運(yùn)維工作中獲取相關(guān)數(shù)據(jù)。 (查文件)ProcessHacker是一款免費(fèi)、開(kāi)源、多用途、超級(jí)強(qiáng)大的進(jìn)程查看管理、系統(tǒng)監(jiān)視和內(nèi)存編輯工具，支持查看管理進(jìn)程、服務(wù)、線程、模塊、句柄以及內(nèi)存區(qū)域數(shù)據(jù)等?？蓭椭O(jiān)視系統(tǒng)資源，調(diào)試軟件和檢測(cè)惡意軟件。（查進(jìn)程異常流量分析）Autoruns是由微軟Sysinternals公司出品的一款精品小工具，它能顯示W(wǎng)indows啟動(dòng)或登錄時(shí)自動(dòng)運(yùn)行的程序，并允許用戶有選擇地禁用或刪除它們，例如，那些在“啟動(dòng)”文件夾和注冊(cè)表相關(guān)“鍵”中的程序。此外Autoruns還可以修改包括：Windows資源管理器Shell擴(kuò)展（如右鍵彈出菜單）、IE瀏覽器插件（如工具欄擴(kuò)展）、系統(tǒng)服務(wù)和設(shè)備驅(qū)動(dòng)程序、計(jì)劃任務(wù)等多種不同的自啟動(dòng)程序。（查看啟動(dòng)項(xiàng)）使用prcesshack、pchunter、autoruns工具針對(duì)于病毒的異常進(jìn)程、啟動(dòng)項(xiàng)、文件進(jìn)行查殺，具體步驟如下：可能將要遇到的問(wèn)題：【pchunter用不了？】/antiwar3/py可以替代pchunter工具包:異常現(xiàn)象分析：1.發(fā)先windowsserver存在高量的外發(fā)連接行為，占用CPU，內(nèi)存等狀態(tài)。(懷疑服務(wù)器中了病毒，斷網(wǎng)隔離排查)使用ProcessHacker中網(wǎng)絡(luò)模塊功能觀察進(jìn)程連接行為，高量的外發(fā)連接行為通過(guò)445端口，發(fā)起大量的SYN數(shù)據(jù)包Netstat-ano發(fā)現(xiàn)很多syn的異常連接發(fā)現(xiàn)是mssecsvc.exe程序發(fā)現(xiàn)大量的syn數(shù)據(jù)包請(qǐng)求，轉(zhuǎn)換到排查進(jìn)程，服務(wù)，定位所在存放的位置2、異常程序分析：根據(jù)進(jìn)程排查到該程序文件存放位置，復(fù)制樣本上傳到微步沙箱檢測(cè)。發(fā)現(xiàn)微步沙箱告警mssecsvc.exe為病毒文件，連接對(duì)端的異常境外IP，和衍生程序tasksche.exe，威脅情報(bào)查詢未知IP地址和惡意病毒程序。3、異常文件分析：排查衍生程序tasksche.exe存放在本地C:\windows下，該進(jìn)程未啟動(dòng)，且沒(méi)有開(kāi)機(jī)自啟動(dòng)。上傳微步沙箱檢測(cè)為惡意程序（可以直接刪除）該進(jìn)程沒(méi)有運(yùn)行，直接清理掉。4、排查異常啟動(dòng)項(xiàng)和計(jì)劃任務(wù)：Autoruns工具Win+r輸入msfconfig排查開(kāi)機(jī)啟動(dòng)項(xiàng)5、處置：1、排查是否存在開(kāi)機(jī)啟動(dòng)項(xiàng)2、刪除掉mssecsvc.exe文件并終止進(jìn)程樹(shù)。刪除tasksche.exe程序3、重要:排查清理mssecsvc.exe存在計(jì)劃任務(wù)4、重要:刪除mss