<?xml version="1.0" encoding="utf-8"?>
<rss version="2.0">
  <channel>
    <title>政达安全论坛 - 病毒分析</title>
    <link>https://bbs.cnscy.com/forum.php?mod=forumdisplay&amp;fid=3</link>
    <description>Latest 20 threads of 病毒分析</description>
    <copyright>Copyright(C) 政达安全论坛</copyright>
    <generator>Discuz! Board by Discuz! Team</generator>
    <lastBuildDate>Fri, 30 Oct 2026 22:15:00 +0000</lastBuildDate>
    <ttl>60</ttl>
    <image>
      <url>https://bbs.cnscy.com/static/image/common/logo_88_31.gif</url>
      <title>政达安全论坛</title>
      <link>https://bbs.cnscy.com/</link>
    </image>
    <item>
      <title>Linux 服务器 CPU 跑满？一次挖矿木马排查记录</title>
      <link>https://bbs.cnscy.com/forum.php?mod=viewthread&amp;tid=5</link>
      <description><![CDATA[一台测试机 CPU 长期 100%，登录后发现陌生进程占用大量算力。

排查顺序：top 定位进程 → ls -l /proc/PID/exe 看真实路径 → crontab -l 与 /etc/cron.d 检查定时任务 → 检查 ~/.ssh/authorized_keys 是否被写入公钥。

清理时先停服务、删定时任务与自启动脚本，再 ...]]></description>
      <category>病毒分析</category>
      <author>admin</author>
      <pubDate>Fri, 30 Oct 2026 20:25:22 +0000</pubDate>
    </item>
    <item>
      <title>某勒索样本行为分析：加密前先关闭安全软件</title>
      <link>https://bbs.cnscy.com/forum.php?mod=viewthread&amp;tid=4</link>
      <description><![CDATA[样本来自一个钓鱼压缩包，解压后是伪装成发票的 exe。

行为链大致分为四步：反沙箱检测、持久化、关闭安全软件、批量加密文件。

比较有意思的一点是它会先结束若干安全进程，再通过服务方式驻留。

处置建议：断网保留样本、检查启动项与服务、用备份恢复数据，不要轻 ...]]></description>
      <category>病毒分析</category>
      <author>admin</author>
      <pubDate>Fri, 30 Oct 2026 20:25:20 +0000</pubDate>
    </item>
  </channel>
</rss>