マルウェアには私のPCへのリモートアクセスがありますか?

応答1# ->にスキップ

2 #

coltong 2018-12-24 12:46

ありがとうございます.私はIMが何をしなければならないのかと思います.私はPowerShellを使用して、マルウェアをそのルートサービスとその使用済みのポートにトレースするために使用しましたが、このマルウェアは私の標準によって非常に洗練されています.それは私のOSの前でそれ自体を起動しています(imではない
IT TECHこれは、基本的にOSが見ているシステムファイルのディレクトリで作成されたものです.IVEはregeditに行って、グローバルな特権依頼を持つ無数のファイルの削除を開始しました.私はIPへのリモートサービスを追跡することができました
住所とリモートクライアントに関するすべてを集めました.私はRMを使用してCredentialsの画面をサーバーにログオンするために管理することさえ、ユーザー/パスはデフォルトではありません.私はここにすべてを投稿します多分誰かが情報を使って何かをすることができます.

PS C:\>get-wsmaninstance-ResourceURI WinRM/Config/Listener-SelectorSet

{address= "*"; transport= "http"}-ComputerName "Server01"

cfg. schemas.microsoft.com/wbem/wsman/1/config/listener

XSI : リンク:XMLSchemaインスタンス

lang :en-us

住所 :*

輸送 :http

ポート :80

ホスト名 :

有効 :true

URLPREFIX :WSMAN

certificateThumbprint:

Listeningon :{100.0.0.1,123.123.123.123.123.123 :: 1,2001:4898:0:FFF:0:5efe:123.123.123.124...}}

このコマンドは、リモートServer01コンピュータの

のWS-Managementリスナー設定を一覧表示します.

セレクタセット内の基準と一致するリスナー.

例7:指定されたインスタンスに関連した関連インスタンスを取得する

PS C:\>get-wsmaninstance-eNumerate-Dialectアソシエーション--filter "{object= win32_service?name= winrm}"

-ResourceURI wmicimv2/*

XSI : リンク:XMLSchemaインスタンス

P. :

schemas.microsoft.com/wbem/wsman/1/wmi/root/cimv2/win32_computerSystem

CIM. : リンク:一般的な

タイプ :P:win32_computersystem_type

lang :en-us

adminpasswordstatus. :1

AutomaticAnagePageFile:true

AutomaticalResetBootOption:true

AutomaticeTcapability:true

BOOTOptionOnLimit. :BOOTOptionOnLimit

BOOTOptionOnWatchDog. :BOOTOptionOnWatchDog

bootromsupported :true

ブートアップステート :通常の起動

キャプション :server01

ChassiSbootUptate. :3

creationClassName. :Win32_ComputerSystem

CurrentTimeZone. :-480

昼間の結果 :false

説明 :at/patible

dnshostname. :server01

ドメイン :site01.corp.fabrikam.com

DomainRole. :1

EnabledayLightSavateStime:true

FrontPanelResetStatus. :2

InfraredSupported :false

InstallDate. :installdate

keyboardpasswordstatus. :2

lastLoadInfo :lastLoadInfo

メーカー :Dell Inc.

モデル :Optiplex 745

名前 :server01

NameFormat :NameFormat

NetworkServerModeEnabled:true

NumberOfLogicalProcessors:2

NumberOfProcessors. :1

OemstringArray :www.dell.com

パートノミント :true

PauseafterReset. :-1

PCSystemType. :5

PowerManagementsUpported:PowerManagementsUpported

PoweronPasswordStatus. :1

PowerState. :0

PowerSupplyState :3

PrimaryOwnContact :PrimaryOwnContact

justribownAne :TestUser01

リセットキャプバティ性 :1

resetcount. :-1

resetlimit. :-1

ロール :{lm_workstation、lm_server、sqlserver、nt}

ステータス :OK

SystemStartupDelay. :SystemStartupDelay

SystemStartupsetting :SystemStartupSetting

SystemType. :x86ベースのPC

サーブステート :3

雑多な記憶物質 :3217760256

username. :fabrikam\testuser01

WakepType. :6

ワークグループ :workgroup

XSI : リンク:XMLSchemaインスタンス

P. :schemas.microsoft.com/wbem/wsman/1/wmi/root/cimv2/win32_service

CIM. : リンク:一般的な

タイプ :P:win32_service_type

lang :en-us

acteptpaine. :false

承認店 :false

キャプション:リモートプロシージャコール(RPC)

Checkpoint :0

creationClassName. :Win32_Service

説明 :エンドポイントマッパーとCOMサービス制御マネージャーとして機能します.この

の場合

サービスが停止されています

または無効化されたプログラムまたはリモートプロシージャコール(RPC)サービスは機能しません

適切に.

DesktopInteract :false

DisplayName :リモートプロシージャコール(RPC)

エラーコントロール :通常

出口コード :0

InstallDate. :installdate

名前 :RPCSS

パス名 :c:\windows\system32\svchost.exe-k rpcss

ProcessId. :1100

ServicesPecificeXitCode:0

ServiceType :シェアプロセス

始まりました :true

startmode. :auto

startname. :NT Authority\NetworkService

状態 :

を実行しています

ステータス :OK

SystemCreationClassName:Win32_ComputerSystem

SystemName. :server01

tagid. :0

waithint. :0

XSI : リンク:XMLSchemaインスタンス

P. :schemas.microsoft.com/wbem/wsman/1/wmi/root/cimv2/win32_systemdriver

CIM. : リンク:一般的な

タイプ :P:Win32_SystemDriver_Type

lang :en-us

acteptpaine. :false

承認店 :true

キャプション :http

creationClassName. :Win32_SystemDriver

説明 :http

DesktopInteract :false

DisplayName :http

エラーコントロール :通常

出口コード :0

InstallDate. :installdate

名前 :http

パス名 :c:\windows\system32\drivers\http.sys

ServicesPecificeXitcode:0

ServiceType :カーネルドライバ

始まりました :true

startmode. :手動

startname. :

状態 :

を実行しています

ステータス :OK

SystemCreationClassName:Win32_ComputerSystem

SystemName. :server01

tagid. :0

このコマンドは、指定されたインスタンス(WinRM)に関連する関連インスタンスを取得します.

例に示すように、フィルタを引用符で囲む必要があります.

例8:指定されたインスタンスに関連するアソシエーションインスタンスを取得する

PS C:\>get-wsmaninstance-eNumerate-dialectアソシエーション-アソシエーション-Filter

"{object= win32_service?name= winrm}"-ResourceURI wmicimv2/*

指定されたインスタンス(WinRM)に関連するアソシエーションインスタンスを取得します.

だから

方言の値は関連付けと関連付けパラメータが使用されている場合、このコマンドはAssociation

を返します.

インスタンスではないインスタンスではありません.

応答4# ->にスキップ

5 #

coltong 2018-12-25 12:06

ハローありがとうございます私はマルウェアを見たことがない(私は実際にそれが私のシステムを本当に攻撃していません)
そのようなものはそれを監視するほどです.私が見つけたより多くのスクリプトを掘り下げるほど.特に1つのスクリプトは、すべてのエクスプロイト/ディフェンダー設定を完全に無視します.現在別のPC ATM上にあるIMは、感染していますが、インターネットに接続されていません.
以前にしたらすぐに今日のアラームが消え始めました.プロセスをIPアドレスにリンクしてブロックするたびに、すべてのIPSは変更されました.私は現在IP範囲.192....255がブロックされました.

クリーンインストール後も、私が見つけた最初のファイルは、Oldosから自分自身を抽出し、新OSに埋め込まれたコマンドを実行したスクリプトでした.しかし、それはWindows.oldから自分自身を引っ張ろうとしていましたが、まだ何もしていないのでどういうわけか
それはそれ自体を根本的に管理されています.私の管理者権限はdwindling and svchost.exeを掛けてください.SVChostがさまざまなApplicationをホストするために使用されていることを知っていますが、実行中の量は正常を超えています.

現在、リモートアクセスが無効にされているものと監視されているすべてのポートと関係があります.MalwareBytesを使用して脅威Scanがありません.現在完全なシステムScanを実行しています.私は行わずにできることすべてについてだけをやりました
オンラインではなく、私のドライバの多くを再インストールまたはインストールして以来、Windowsを更新することもまだ更新していません.

システムを攻撃するという点でできることはありますか.ある時点で、私はリモートマネージャを使用してクライアントシステムにアクセスし(私のPCが職場でサーバーとして表示されています)、ログイン画面に移動しましたが
パスワードを釘付けできませんでした.システム/ユーザー名はすべて1つを除くものであるため、それはある種のデフォルトでなければなりません.

また、このスパイウェアがHP自身で私のシステムに置かれたほとんど肯定的です.'

私は私のラップトップを修理するためにHPに送った、そして12-14-18まで約12-1-18からありました.悪意のあるファイルを識別することを私が見つけた最も簡単な方法は、12-12-18で作成/変更された場合です.これがあったとき、それはそれがHPの監護権にあることを意味するでしょう
PCにロードされています.

盗まれた私の個人情報のいずれかに対して100%の責任を負うべきであるような気がします.