文档资讯

注于最实用的技术,低调靠谱,干货分享

尊敬的客户,


11月10日我们技术发现十于台VPS宿主服务器CPU负荷超过健康值,进一步检查发现高占用CPU的客户VPS系统均为Windows2008/2012系统,我们与客户沟通进入VPS后发现,均是因为系统存在“MS17-010”漏洞被利用入侵,然后植入了恶意程序在进行扫描作业及其他非法行为。


为避免进一步损失扩大,大部分可能被入侵的Windows2008/2012系统的VPS已被关机,如果发现您的Wind vps被关机,请仔细阅读本文解决。


我们5月3日已经在帮助中心,Windows运维版块发出 “Windows漏洞利用工具被泄露 排查及处理方法 —— 重要” 通知,大部分客户忽视了该漏洞严重性。请发现自己Wind系统的VPS被关机的客户进行检查,如存在恶意程序请依照下述方式进行修复。


不论是否已被入侵,所有WInd2008/2012/2003系统VPS用户,请立即修改您的系统密码,不要使用安装完系统所显示的默认密码。


一:被入侵特征

1、系统运行任何软件,特别卡。


2、C:盘 根目录下存在 ll.exe 可执行文件,以及 SysData 目录,如下图所示:

1510332076885342.png

3、运行 任务管理器 可以看到如下名称以 *32 结束的进程或其他占用大量CPU、内存的异常进程

1510332491771872.png


如果有以上情况,即可判断VPS已被黑客控制。请按照下面的方式进行解决。


二:清除方法(1)

1)我们已经制作了基础安全设定与病毒清理脚本,下载并执行 proctect.bat,请点击下载;执行后请观察C盘下的 SysData 目录是否存在,存在就再运行一次。病毒清理脚本功能:

1、结束当前占用cpu高的病毒进程;

2、删除主要的病毒文件和目录;

3、删除病毒开机自启动;

4、开启防火墙并添加防火墙策略,在入站方向禁止tcp 135、137、138、139、445访问。


2)完成后立即修改系统密码(不会请参考:Windows修改Administrator密码命令),然后到控制面板->用户账户,检查是否有异常账户被建立,发现立即删除;检查防火墙是否开了3389端口,如果没开就在防火墙设定中允许。


3)Wind2008系统的客户,请再下载MS17-010漏洞补丁运行安装,点击下载,安装过程会比较卡,完成后重启系统。


4)保险起见,以上操作均完成后请在服务器浏览器访问360官网下载360安全卫士,留意去掉不需要的捆绑安装软件,安装完成后开启QVM 人工智能引擎,执行扫描,修复系统漏洞和删除脚本未成功清理的病毒,完成后重启,可以卸载360了。


三:清除方法(2)

我们已加急制作了新的Wind2008/2012 VPS系统模板,设定了基础安全与补了严重危险漏洞,目前已经同步到了各节点可以正常使用。您可以在执行 二:清除方法(1)中的清理脚本 proctect.bat 后打包备份您的数据,然后重装系统即可彻底清理,注意重装后要立即修改您的默认密码


请各位客户对VPS安全留意,避免再次出现此类事件,常见安全设定有防火墙规则设定、3389远程登入桌面端口修改等。

如果您遇到问题需要我们帮助,请在客户中心,提交工单和我们联系!



野草云-技术部

2017年11月11日凌晨