前情摘要：最近勒索病毒真的太猖獗了，光一星期我就接连处理了两起。不过黑客的攻击方式都是大同小异，处理完报告之后，特来分享其中一起。各位可得小心小心在小心，千万不要中招，不然就只有重装的份了。
事件概述：
最近，某公司机房数据库中了勒索病毒，工作人员上班发现后，立即拔掉网线，防止病毒进一步扩散。病毒页面如下
可以看到，这是一个比较经典的勒索病毒了，且桌面文件都已经被加密，无法查看。
问题排查：接下来，就要从各个层面来进行排查了
针对勒索病毒的排查及处置，我本人也有较为丰富的经验，但最近在使用一个叫无问AI的产品，想问问这个AI会给我怎样的答复。
可以看到，这个大模型的回复还是很全的，并且根据无问AI的回答，我们需要先排查服务器。
首先要确定病毒有没有扩散，通过排查，发现两台机器中了勒索，分别为192.168.1.77还有192.168.1.78，可以先看下1.78的任务日志。
系统层面排查
接着，我们在对windows的系统层面进行排查，看看有没有什么收获，我分别从系统账号、隐藏账号、异常进程、异常任务计划、开放端口、rootkit等各层面进行了全面检查。
（1）排查开放端口，排查开放端口，发现两台服务器均开放了445,3389等端口，我初步判断为通过RDP暴力破解进来的
（2）排查账户信息，发现该服务器禁止guest账户
3）这个时候，我问了下运维人员，我说：你们远程桌面的密码是多少？
答：123456
我晕
然后我问他有没有开放外网，他说开着。
我一听，判断的八九不离十了，估计就是通过3389暴力破解进来的。
为了继续验证我的思路准不准确，我便开始查看系统的安全日志
安全日志分析：
通过安全日志，我们可以很清晰的看到该服务器平均每隔几秒就会被尝试通过RDP协议爆破一次，直到最后爆破成功，登录服务器作案。
ps：如果控制面板没有办法找到安全日志，可以通过dos窗口输入eventvwr，即可打开
但为了保险起见，我还是用D盾查杀了一下
和我想的一样，攻击者应该未上传后门文件，而是直接植入的病毒。
综合分析：
这样攻击路径就很明显了，攻击者通过暴力破解，由弱口令进入服务器，进而执行勒索病毒。
最后，这个勒索病毒我也解不开，还好没存在什么重要数据，我让他重装系统了。
安全建议：
·对重要的业务系统数据要有数据备份的机制；
·要常态地化对服务器、应用系统进行漏洞检测，及时发现、及时修复；
·对于不常用的服务端口需要采取关闭或者加固措施，比如：139端口，145端口，455端口，3389端口；
·对3389协议进行弱口令检测，并强制要求所有的服务器和终端定期修改复杂密码，杜绝弱口令；
小结：
1、本次应急算是一次小应急，涉及的服务器只有两台，但给我们的安全启示确很大，我发现运维人员还是需增强安全意识，避免使用弱口令。
2、无问AI大模型给的回复确实全面一些，链接我放在下边了，建议各位也可以去使用一下。
无问社区:http://wwlib.cn/
