首页 文章 精选 留言 我的

精选列表

搜索[cad],共824篇文章
优秀的个人博客,低调大师

用 WorkBuddy 给一台装了 4 个版本 CAD 的工作站做安全体检:清掉 U 盘蠕虫,还揪出一个"删了又冒出来"的 41 字节文件

> 这是一次真实排查的记录。全程用 WorkBuddy 在这台 Windows 工作站上完成,所有结论都来自本机实测(文件时间戳、系统事件日志、SHA256),没有推测当成事实。 ## 一、起因:四个盘根目录躺着可疑程序 这是一台工程设计工作站:Windows 系统,装着 4 个版本的 AutoCAD、天正建筑、CASS、Revit,硬盘分成 C / D / E / F 四个本地分区,平时频繁插 U 盘互相拷图纸。 例行检查时,在四个盘的**根目录**发现了这些: - 13 个随机命名(如 `euypvm.exe`、`xoje.pif`)的可执行文件 - 每个都恰好 **99,044 字节**,属性为"只读 + 隐藏 + 系统" - 无数字签名,二进制里带 `[LordPE]` 字样(一种可执行文件修改工具的标记) - 3 个大小写混淆写法的 `autorun.inf`(例如写成 `shElL\OpEn\comMand`,用来规避关键字检测) - 3 个 41 字节的隐藏文件 `$gliid` 按文件的时间戳倒推,感染时间线是:**从 2026-03-12 起,前后至少 6 轮,最近一次是 9 月 15 日**。 **这里有一个经验**:U 盘蠕虫特别喜欢往**盘根目录**放东西,因为 `autorun.inf` 只有在根目录才生效。所以"每个盘的根目录"是排查这类病毒的第一现场。而它们用"隐藏 + 系统"属性,是为了在默认设置下的资源管理器里不可见。 ## 二、清理:先让杀软做主,再手动收尾 先跑了一遍火绒全盘扫描:**报出 163 个风险项,全部自动处理完毕**。扫描完成后逐条复查: - 13 个恶意 exe/pif → **全部清除** - 3 个 `autorun.inf` → **全部清除** - 3 个 `$gliid` → **仍在**(杀软不认为它是病毒,因为它只是纯数据) 顺带验证了另一件事:全盘搜索 99,044 字节的同类文件,**零残留**。 **这里有个关键判断**:杀软能清掉"会执行的东西",但清不掉"数据文件"。后者需要人工确认后清理。 ## 三、手动清理那 3 个 41 字节文件 先备份(万一要留凭证),再删除。删的时候踩了一个坑(后面会讲)。 删除时做了三件事: 1. 逐条列出待删文件的完整路径、字节数、时间戳,**给用户确认** 1. 分批删除,**每批 10 个,每批删完立刻复查** 1. 最后做整体验收(`Test-Path` 确认目录不存在) ## 四、诡异的事:它又回来了,而且是四个盘 第二天复查,C、D、E、F 四个盘根目录**又各出现了一个 `$gliid**` —— 包括前一次根本没有的 C 盘。 而且: - 四个文件的创建时间**只差 3 毫秒**(`.884` / `.884` / `.886` / `.887`),说明是一个程序**挨着四个盘各写了一遍** - 内容与前一批**逐字节完全相同**(SHA256 四盘一致) - 属性依然是"隐藏 + 系统" 这就有点意思了。于是开始取证。 ## 五、取证:怎么定位"是谁写的" ### 1. 先固定时间点 用系统事件日志还原现场: 结果: |时间|事件| | --- | --- | |11:42:43|重启(用户操作)| |11:43:27|开机完成(Event ID 6005)| |11:43:29|四个盘被写入 $gliid| |11:51:45|关机| **开机后 2 秒就被写入** —— 这个时间点极其关键:那时桌面还没出来,只有内核驱动和最早批的服务在运行。 辅助确认开机时刻: ### 2. 排除外部脚本 查 PowerShell 的操作日志,看那一瞬间有没有脚本在跑: 结果:**那一刻没有任何记录**(最早的记录在 11:43:37,晚了 8 秒)。→ 排除脚本工具。 ### 3. 扫一遍常见藏身点 |位置|排查命令|结果| | --- | --- | --- | |组策略启动脚本|看 C:\Windows\System32\GroupPolicy\*\Scripts|空| |WMI 永久订阅|Get-CimInstance -Namespace root\subscription -ClassName __EventFilter|只有系统自带 1 条| |映像劫持 IFEO|查 Image File Execution Options 下的 Debugger 值|无| |Winlogon / AppInit|查 Shell / Userinit / AppInit_DLLs|全部正常| |计划任务|Get-ScheduledTask \| Get-ScheduledTaskInfo 按 LastRunTime 过滤|该时段全是系统任务| ### 4. 锁定"能在这个时间点干活的东西" 既然写入发生在**开机后 2 秒**,能在这个时间点写盘的只有**开机最早阶段加载的驱动**: 列出来的驱动绝大多数是微软自带的,非微软的只有寥寥几个(显卡 / 芯片组 / NVMe / 安全软件)。**其中安全软件的"设备监控"驱动嫌疑最大,但没有直接证据,所以这一条只能标"待定",不能下定论。** ## 六、做实验:删掉它,重启,看它回不回来 猜测有很多,实验只有一个。设计如下: 1. **存档**:删除前记录四个文件的 SHA256(用于事后比对) 1. **删除**:删掉四个文件 1. **重启**:重启电脑 1. **复查**:开机后立刻检查四个盘 **结果:一个都没回来。** 这个结论很有价值 —— 它说明: - 它**不是"每次开机都会自己长出来"**的东西 - 也**不是"你删了它就自动补一个"**的性质 - 换句话说,**背后没有持续运行、会自动重生的机制** 所以风险评级可以下调为"低":文件本身是纯数据无代码,删掉后不复发,常见藏身点全干净。 ## 七、两个必须记住的 Windows 坑 ### 坑 1:PowerShell 的执行结果"看不见" 在部分环境下,通过工具调用 PowerShell 时 `stdout` 会被吞掉,屏幕上什么都没有。 **解法**:把结果写进文件,再读文件。 用 `StringBuilder` 攒完一次性落盘,比每一步都 `-Append` 更稳(中途写失败不会丢全部日志)。 ### 坑 2:`Remove-Item` 删不掉"隐藏 + 系统"属性的文件 删除时遇到这个报错: 原因是这台机器上的删除操作被一个"安全删除"机制接管、转成了"送回收站",而**回收站不接受带隐藏+系统属性的文件**,于是整个脚本被打断。 **解法**:改用 .NET 直接删(先清只读属性): 另一个小坑:路径里含 `$` 时,PowerShell 双引号会把它当变量。**一律用单引号或 `-LiteralPath`**。 ## 八、把检查变成日常 偶发的安全事件,最怕的就是"不知道什么时候又冒出来"。所以最后做了一件事:**把检查变成每天自动跑一次的定时任务**—— - 每天固定时间检查四个盘根目录有没有 `$gliid`、随机名 `exe/pif`、`autorun.inf` - 发现 `$gliid` 就记录**路径、创建时间(精确到毫秒)、SHA256**,并与历史指纹比对 - 发现恶意程序则**醒目告警并等人确认,不自动删除** 这样下次它一露头,就能立刻拿到"当时的现场",从而定位是谁写的。 ## 九、经验小结 1. **U 盘蠕虫看"根目录"**:`autorun.inf` + 随机名程序 + 隐藏属性,是经典三件套。 1. **杀毒软件清"会跑的",数据文件得人工清**:清不掉的不一定是漏网,可能只是杀软不认为它是威胁。 1. **时间戳是最有力的线索**:一个"创建时间只在开机后 2 秒"的文件,直接把嫌疑范围缩到"开机最早阶段加载的驱动"。 1. **有猜测就做实验**:删掉 + 重启 + 复查,一个实验就能推翻或证实一堆假设。 1. **不确定就写"待定"**:排查报告里最忌讳把没证据的推断说成结论。 1. **验证要留底**:删除前存档 SHA256,删完分批复查,事后可追溯。 --- *本文由 WorkBuddy 协助完成排查与记录。文中路径与文件名*

资源下载

更多资源
Spring

Spring

Spring框架(Spring Framework)是由Rod Johnson于2002年提出的开源Java企业级应用框架,旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念,提供核心容器、应用上下文、数据访问集成等模块,支持整合Hibernate、Struts等第三方框架,其适用范围不仅限于服务器端开发,绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux

Rocky Linux(中文名:洛基)是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版,作为CentOS稳定版停止维护后与RHEL(Red Hat Enterprise Linux)完全兼容的开源替代方案,由社区拥有并管理,支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性,采用模块化包装和SELinux安全架构,默认包含GNOME桌面环境及XFS文件系统,支持十年生命周期更新。

Sublime Text

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能,例如代码缩略图,Python的插件,代码段等。还可自定义键绑定,菜单和工具栏。Sublime Text 的主要功能包括:拼写检查,书签,完整的 Python API , Goto 功能,即时项目切换,多选择,多窗口等等。Sublime Text 是一个跨平台的编辑器,同时支持Windows、Linux、Mac OS X等操作系统。

WebStorm

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源,继承了IntelliJ IDEA强大的JS部分的功能。

用户登录
用户注册