Windows server 2008R2服务器上WannaMine4.0挖矿木马病毒处理

近期局域网的服务器总是出现不定期的重启导致服务总是不正常，经过杀毒、关端口、删除NetworkDistribution文件等操作，过了几天又出现该病毒，反复出现导致服务器一直处于异常状态。经过排查为局域网内有设备感染WannaMine挖矿木马导致，本文将详细介绍如何处理该故障。附件为WannaMine查杀工具。

一、服务器端火绒离线端杀毒软件，进行全盘扫描查杀。经过测试360很多文件没有查杀出来，使用火绒后可以查到隐藏的病毒文件。

二、使用Autoruns检查自动启动项是否还存在病毒运行的服务。

将自动运行的病毒相关的服务和注册表全部删除，自动启动任务。

三、针对服务器的版本更新“永恒之蓝”补丁。

四、删除C:\Windows\System32\dllhostex.exe，C:\Windows\NetworkDistribution，C:\Windows\NetworkDistribution\svchost.exe，C:\Windows\System32\svchost.exe，c:\windows\system32\remoteupdateevent.dll。

五、重启服务器，一切正常。

PS：

WannaCry勒索与WannaMine挖矿，虽然首次发生的时间已经过去很久了，但依旧能在很多家内网见到这两个，各类杀毒软件依旧无法清除干净，但可以阻断外联及删除病毒主体文件，但依然会残留一些。此种情况下，全流量分析设备依旧可以监测到尝试外联，与445端口扫描行为。

WannaCry 在使用杀毒软件及手动清除攻击组件所在目录后，仍需手动cmd命令删除两个系统服务sc delete mssecsvc2.0与mssecsvc2.1。

WannaMine 全系使用“永恒之蓝”漏洞，在局域网内快速传播。且高版本会在执行成功后完全清除旧版本。所以用杀毒软件查杀后仍然会反复感染。

WannaMine2.0版本
该版本释放文件参考如下：
C:\Windows\SpeechsTracing\Microsoft\
C:\Windows\system32\wmassrv.dll
C:\Windows\system32\HalPluginsServices.dll
C:\Windows\System32\EnrollCertXaml.dll
删除系统服务名与DLL文件对应的wmassrv。

WannaMine3.0版本

该版本释放文件参考如下：

C:\Windows\System32\MarsTraceDiagnostics.xml
C:\Windows\AppDiagnostics\
C:\Windows\System32\TrustedHostex.exe
C:\Windows\System32\snmpstorsrv.dll
需删除主服务snmpstorsrv与UPnPHostServices计划任务

WannaMine4.0版本

该版本释放文件参考如下：
C:\Windows\System32\rdpkax.xsl
C:\Windows\System32\dllhostex.exe
C:\Windows\System32\ApplicationNetBIOSClient.dll
C:\Windows\SysWOW64\ApplicationNetBIOSClient.dll
C:\Windows\SysWOW64\dllhostex.exe
C:\Windows\NetworkDistribution

攻击顺序：

1.有一个主服务ApplicationNetBIOSClient,对应动态库为ApplicationNetBIOSClient.dll（由系统进程svchost.exe加载），每次都能开机启动，启动后加载spoolsv.exe。

2.spoolsv.exe对局域网进行445端口扫描，确定可攻击的内网主机。同时启动漏洞攻击程序svchost.exe和spoolsv.exe（另外一个病毒文件）。

3.svchost.exe执行“永恒之蓝”漏洞溢出攻击（目的IP由第2步确认），成功后spoolsv.exe(NSA黑客工具包DoublePulsar后门）安装后门，加载payload（x86.dll/x64.dll）。

4.payload（x86.dll/x64.dll）执行后，负责将rdpkax.xsl从本地复制到目的IP主机，注册ApplicationNetBIOSClient主服务，再解压该文件，启动spoolsv执行攻击（每感染一台，都重复步骤1、2、3、4）。

文件名随机组合参考
• 第一部分：Windows、Microsoft、Network、Remote、Function、Secure、Application
•第二部分：Update、Time、NetBIOS、RPC、Protocol、SSDP、UPnP
•第三部分：Service、Host、Client、Event、Manager、Helper、System
•rdp压缩文件随机字符串后缀：xml、log、dat、xsl、ini、tlb、msc

关于Windows下计划任务与启动项查看方式，建议在使用PCHunter、Autoruns、ProcessHacker等工具无法发现异常的情况下，可以到注册表下查看。

注册表下排查可疑的计划任务
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Schedule\TaskCache\Tree

发现可疑项可至tasks下查看对应ID的Actions值
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\tasks

计划任务文件物理目录
C:\Windows\System32\Tasks\Microsoft\Windows

注册表下查看开机启动项
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run或runOnce