如何处理网络中未知蠕虫的清除/根除？

TL; DR

我很确定我们的小型网络已被某种蠕虫/病毒感染。但是，这似乎只会困扰我们的Windows XP计算机。Windows 7计算机和Linux（是的）计算机似乎不受影响。防病毒扫描没有显示任何内容，但我们的域服务器已记录了数千次针对各种有效和无效用户帐户（尤其是管理员）的失败登录尝试。如何阻止这种不知名的蠕虫传播？

病征

我们的一些Windows XP用户报告了类似的问题，尽管并不完全相同。他们都会经历由软件启动的随机关闭/重新启动。在其中一台计算机上，会弹出一个对话框，显示倒计时，直到系统重新启动为止，该对话框显然由NT-AUTHORITY \ SYSTEM启动，并且与RPC调用有关。该对话框尤其与详细介绍较早的RPC漏洞蠕虫的文章中描述的对话框完全相同。

当其中两台计算机重新启动时，它们会在登录提示符下重新启动（它们是域计算机），但列出的用户名是“ admin”，即使它们尚未以admin身份登录。

在运行该域的Windows Server 2003计算机上，我注意到来自各种来源的数千次登录尝试。他们尝试了所有不同的登录名，包括管理员，管理员，用户，服务器，所有者和其他。

有些日志列出了IP，有些则没有。那些确实具有源IP地址（用于失败的登录）的设备中，有两个对应于经历重新引导的两台Windows XP计算机。就在昨天，我注意到一堆来自外部IP地址的失败登录尝试。跟踪路由表明外部IP地址来自加拿大ISP。我们永远都不应从那里建立连接（尽管我们确实有VPN用户）。因此，我仍然不确定来自国外IP的登录尝试是怎么回事。

显然，这些计算机上存在某种恶意软件，它的一部分工作是尝试枚举域帐户上的密码以获得访问权限。

我到目前为止所做的

意识到发生了什么之后，我的第一步是确保每个人都在运行最新的防病毒软件并进行扫描。在受影响的计算机中，其中一台具有已过期的防病毒客户端，但是其他两台是Norton的当前版本，并且对这两个系统进行全面扫描都没有发现任何问题。

服务器本身定期运行最新的防病毒软件，并且未显示任何感染。

因此，基于Windows NT的计算机中有3/4拥有最新的防病毒功能，但未检测到任何东西。但是，我确信情况正在发生，主要是各种帐户的数千次失败登录尝试所证明。

我还注意到，我们的主文件共享的根目录具有相当大的打开权限，因此我仅将其限制为普通用户只能读取并执行。管理员当然具有完全访问权限。我还将让用户更新其密码（使用强密码），并且我将在服务器上重命名为Administrator并更改其密码。

我已经从网络上卸下了这些机器，其中一台正在被一台新机器取代，但是我知道这些事情可以通过网络传播，所以我仍然需要深入研究。

另外，服务器具有仅打开某些端口的NAT /防火墙设置。我还没有充分研究一些与Windows相关的服务，这些服务具有开放的端口，因为我来自Linux。

怎么办？

因此，所有现代且最新的防病毒软件均未检测到任何东西，但我绝对相信这些计算机都具有某种病毒。我基于XP机器的随机重启/不稳定以及源自这些机器的数千次登录尝试。

我计划要做的是在受影响的计算机上备份用户文件，然后重新安装Windows并重新格式化驱动器。我还采取了一些措施来保护可能已用于传播到其他计算机的公用文件共享。

知道了所有这些之后，我该怎么做才能确保该蠕虫不在网络上的其他地方，以及如何阻止它传播？

我知道这是一个引出的问题，但是我在这里不尽如人意，可以使用一些指针。

感谢您的光临！

这些是我对此类过程的一般建议。非常感谢您已经介绍了其中的一些内容，但最好能被告知两次而不是错过重要的事情。这些说明主要针对在LAN上传播的恶意软件，但可以轻松地缩小以应对更多次要感染。

停止腐烂，并找到感染源。

1. 确保您拥有企业关心的该网络上的每个系统和每个数据的最新备份。请确保您注意到此还原媒体可能已被破坏，以使人们不会在3个月内尝试从该还原媒体上恢复原状并再次感染网络。如果您有感染发生前的备份，也要安全地放在一边。

2. 如果可能的话，请关闭实时网络（至少在清理过程中可能需要这样做）。至少要认真考虑使该网络（包括服务器）保持与Internet的距离，直到您知道发生了什么-如果此蠕虫正在窃取信息该怎么办？

3. 不要超越自己。诱人的是，此时只说清理所有内容，强迫所有人更改密码等，然后称之为“足够好”。尽管您可能迟早需要这样做，但如果您不了解LAN上正在发生的事情，很可能会感染到您。（如果您不想进一步调查感染，请转到步骤6）

4. 将受感染的计算机复制到某种虚拟环境中，并在引导受感染的guest虚拟机之前将此虚拟环境与包括主机在内的所有其他虚拟环境隔离。

5. 创建另外两台干净的虚拟访客计算机以对其进行感染，然后隔离该网络，并使用wireshark等工具监视网络流量（利用该Linux背景的时间，并在此虚拟LAN上创建另一个访客来监视所有这些流量，而无需被任何Windows蠕虫感染！）和进程监视器以监视所有这些计算机上发生的更改。还应考虑到问题可能是隐藏得很好的rootkit-尝试使用信誉良好的工具查找这些问题，但请记住，这有点艰巨，因此，一无所知并不意味着那里一无所有。

6. （假设您尚未/无法关闭主局域网）使用主局域网上的wireshark查看发送到/从受感染机器发送的流量。将来自任何计算机的任何无法解释的流量视为潜在可疑- 缺少可见症状并不表示没有妥协。您应该特别担心服务器和运行业务关键信息的任何工作站。

7. 在虚拟客户机上隔离所有受感染的进程之后，您应该可以将样本发送给在这些计算机上制作了正在使用的防病毒软件的公司。他们将热衷于检查样本并为发现的任何新恶意软件提供修复程序。实际上，如果您还没有这样做，则应该与他们联系，以他们的灾难故事，因为他们可能会提供一些帮助。

8. 尝试找出原始感染媒介是什么 -该蠕虫可能是一种隐藏在有人访问过的受感染网站内的漏洞利用程序，它可能是从某人家中通过记忆棒带入的，或通过电子邮件收到的，以进行命名但有几种方法。漏洞利用是否通过具有管理员权限的用户破坏了这些计算机？如果是这样，请不要再授予用户管理员权限。您需要尝试确保感染源已修复，并且需要查看是否可以对程序进行任何更改，以使该感染途径将来变得更加难以被利用。

清理

其中一些步骤似乎是最重要的。尤其是如果您确定实际上只有几台计算机受到威胁时，其中的一些服务器可能会处于顶峰，但是它们应确保您的网络尽可能干净。老板也不会热衷于其中一些步骤，但是对此没有太多要做。

1. 关闭网络上的所有计算机。所有工作站。所有服务器。一切。是的，即使是老板的十几岁儿子的笔记本电脑，儿子在等待父亲完成工作时也偷偷溜到了网络上，这样儿子就可以在当前的社交媒体网站du-jour上播放“ dubious-javascript-exploit-Ville ” 。实际上，考虑到这一点，特别是关闭了这台机器。用砖头就是需要的。

2. 依次启动每个服务器。应用您自己发现或AV公司提供的任何修复程序。审核用户和组中是否存在任何无法解释的帐户（本地帐户和AD帐户），审核已安装的软件中是否存在任何意外情况，并在另一个系统上使用wireshark监视来自该服务器的流量（如果此时发现任何问题，请认真考虑进行重建）该服务器）。在启动下一个系统之前，请先关闭每个系统，以免受到感染的计算机无法攻击其他计算机。或将它们从网络上拔下，这样您可以一次执行多个操作，但它们却无法相互通信，这一切都很好。

3. 一旦确定所有服务器都是干净的，就可以启动它们，并使用Wireshark，过程监视器等。再次观察它们是否有异常行为。

4. 重置每个用户密码。如果可能的话，也请提供服务帐户密码。是的，我知道这很痛苦。此时，我们将进入“可能在最上方”的区域。你的来电。

5. 重建所有工作站。一次执行一次操作，以使可能受感染的计算机不会闲坐在LAN上，以攻击新近重建的计算机。是的，这需要一段时间，对此感到抱歉。

6. 如果不可能的话：

   对所有“希望干净”的工作站上的服务器执行上面概述的步骤。

   重建所有显示出任何可疑活动迹象的机器，并在所有“希望干净”的机器关闭电源的情况下进行。

7. 如果您还没有考虑过集中式AV，它将向服务器报告问题，您可以在其中监视问题，集中式事件日志记录，网络监控等。显然，选择并选择适合该网络需求和预算的方案，但这里显然存在问题，对吗？

8. 检查这些机器上的用户权限和软件安装，并进行定期审核，以确保一切仍如您所愿。还要确保鼓励用户尽快报告事情，不要抱怨，鼓励解决IT问题而不是开枪的商业文化，等等。

您已经完成了所有我想做的事情（如果我仍然是Windows管理员）-规范的步骤是（或者曾经是我上次是Windows员工）：

1. 隔离受影响的计算机。
2. 更新防病毒定义
   运行AV /恶意软件/等。扫描整个网络
3. 吹走受影响的机器（完全清除吸盘）并重新安装。
4. 从备份还原用户数据（确保数据干净）。

请注意，病毒/蠕虫/无论潜伏在电子邮件中（在邮件服务器上）还是在word / excel文档的宏中，都有可能出现-如果问题再次出现，则您可能需要更加积极地进行清理下次。

从中得到的第一课是AV解决方案不是完美的。差远了。

如果您是最新的AV软件供应商，请致电他们。他们所有人都为这类事情提供了支持号码。事实上，他们可能会对打到您的东西非常感兴趣。

正如其他人所说，将每台计算机放下，擦拭并重新安装。您可能会借此机会使所有人都脱离XP。相当长一段时间以来，它已经死掉了。至少，这应该涉及销毁HD分区并重新格式化。尽管听起来好像并没有那么多机器，所以购买全新的替代品可能是一个更好的选择。

另外，让您的老板知道这太贵了。

最后，为什么要在一个服务器上运行所有这些功能？（夸张地说，我知道您是“继承”它的）DC绝对不能从互联网上访问。通过安装适当的硬件来维护所需的功能来解决此问题。

如果您的A / V程序没有启动，则很可能是rootkit。尝试运行TDSSkiller并查看发现的内容。同样，这将是用不到十年的历史简单地替换陈旧的Windows XP计算机的绝佳时机。除了诸如防病毒程序之类的软件外，我几乎看不到无法通过填充程序运行或无法在Windows 7上放松一些NTFS /注册表权限的程序的方式。运行XP。