每隔20分钟svchost就隐藏执行powershell，不懂这是什么

显示全部楼层 · 发表于 2017-11-16 20:17:19

win10 1709 杀软是火绒
操作者：C:\Windows\System32\svchost.exe
命令行：c:\windows\system32\svchost.exe -k netsvcs -p -s Schedule
风险动作：隐藏执行PowerShell
执行文件：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
执行命令行：C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe -ExecutionPolicy Unrestricted -NonInteractive -NoProfile -WindowStyle Hidden "& C:\WINDOWS\system32\WindowsPowerShell\v1.0\Modules\SmbShare\DisableUnusedSmb1.ps1 -Scenario Client"
用户操作：已阻止

显示全部楼层 · 发表于 2017-11-16 21:08:07

可使用procmon抓取log上传分析

显示全部楼层 · 发表于 2017-11-19 00:23:07

您可以尝试打开或关闭Windows功能 - > SMB 1.0 / CIFS文件共享支持 - >取消选中“SMB 1.0 / CIFS自动删除”
除非你的网络上有真正的旧系统，文件共享，否则你可以继续关闭它。

可以先试试

https://www.reddit.com/r/Windows ... _powershell_script/

[求助] 每隔20分钟svchost就隐藏执行powershell，不懂这是什么