病毒分析 今日: 0|主题: 2|排名: 2 

一台测试机 CPU 长期 100%，登录后发现陌生进程占用大量算力。 排查顺序：top 定位进程 → ls -l /proc/PID/exe 看真实路径 → crontab -l 与 /etc/cron.d 检查定时任务 → 检查 ~/.ssh/authorized_keys 是否被写入公钥。 清理时先停服务、删定时任务与自启动脚本，再封禁外联地址，最后修改所有相关密码并检查是否有其他 ...

样本来自一个钓鱼压缩包，解压后是伪装成发票的 exe。 行为链大致分为四步：反沙箱检测、持久化、关闭安全软件、批量加密文件。 比较有意思的一点是它会先结束若干安全进程，再通过服务方式驻留。 处置建议：断网保留样本、检查启动项与服务、用备份恢复数据，不要轻易支付赎金。 ...