Powershell無文件挖礦查殺方法

病毒現象

1. 服務器出現卡頓、CPU飆升
2. 和其他主機的445端口，建立起大量的連接
3. 存在大量Powershell進程

病毒處置

1. 封堵445端口; 或打永恆之藍漏洞補丁(https://wukungt.github.io/2019/03/05/Windows%E8%A1%A5%E4%B8%81%E6%9B%B4%E6%96%B0/)、加強主機密碼且密碼各不相同。

2. 在AF等設備添加規則，限制訪問下列域名和IP：
   web4.olukotun.info
   update.7h4uk.com
   info.7h4uk.com
   d4uk.7h4uk.com
   111.90.145.52
   185.234.217.139

3. 使用Autoruns，刪除Powershell的WMI：
   

4. 使用Autoruns，刪除任務計划 WindowsLogTasks 和 System Log Security Check。
   

5. 使用ProcessHacker，結束如下進程(選中后，右鍵點擊Terminate即可結束進程)：
   a. powershell.exe進程
   b. regsvr32.exe進程
   c. cohernece.exe進程
   

6. 以上步驟結束后，使用殺軟全盤查殺病毒文件