上海建设机械网站,如何做链接,西安旅游网站开发,潮州市网站建设访问polling.oastify.com
今天#xff08;2024/3/5#xff09;在深信服防火墙用户安全日志页面#xff0c;检测到我的主机在和polling.oastify.com域名进行通信 当时通知我检查我的主机#xff0c;慌得一批#xff0c;检查完后可能认为是我代理的问题#xff0c;把代理关…访问polling.oastify.com
今天2024/3/5在深信服防火墙用户安全日志页面检测到我的主机在和polling.oastify.com域名进行通信 当时通知我检查我的主机慌得一批检查完后可能认为是我代理的问题把代理关了之后还是有访问域名情况有接着排查并没有发现什么问题想着可能要重装系统了。。。
威胁情报查询
微步社区 安恒情报社区 奇安信威胁情报中心 绿盟威胁情报 结论
综合上述情报分析该域名为恶意域名。接下来就是寻找到对应的木马程序了。
进程排查
通过火绒剑系统监控功能记录主机网络通信信息只过滤polling.oastify.com域名关键词发现系统通信进程只有一个svchost.exe的系统进程并无其他应用程序和此域名通信。通过双击查看进行命令可以看到svchost.exe -k NetworkService -p -s Dnscache 这样的参数. svchost.exe微软官方解释svchost.exe 是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。svchost.exe 是一个系统共享进程我们可以把他理解为一个宿主或者容器本身没有任何服务功能Windows 操作系统将大部分的服务封装在了一个个 DLL 动态链接库中想要启动哪个服务就把服务所需的 dll 交给 svchost.exe让 svchost 统一去加载启动就可以这就是我们在查看进程时会发现密密麻麻一大堆 svchost.exe 进程的原因。打开 Windows 任务管理器我们看到的一堆名称为服务主机的进程大部分都是 svchost.exe 启动的服务进程。当然凡事都有例外个别服务是通过直接注册可执行文件来实现并不会通过 svchost.exe 这类进程调用。
云沙箱分析
将对应svchost.exe文件上传云沙箱分析分析结果均为安全
微步云沙箱 安恒云沙箱 修改host地址
通过火绒安全工具修改HOST文件功能编辑系统本地hosts文件手动添加域名解析地址表项本例设置了本地网络中不存在的地址避免正常应用程序访问对应IP地址出现不必要记录。 ps在hosts文件中手动添加了一个域名与其对应的IP地址映射后操作系统在处理对该域名的请求时会优先查询hosts文件而不是向DNS服务器发起请求。 修改完成后在火绒剑系统功能栏打开过滤设置路径过滤中添加恶意域名和hosts文件绑定的对应IP地址动作可根据实际情况选择(建议只勾选网络监控)。 过滤完成后等等待一段时间等待牧马应用程序访问对应恶意域名查看网络监控日志中哪个访问了hosts文件中关联的地址(本地不存在)对应应用程序极有可能就为牧马程序。 经过多次主机、虚拟机进程监测测试。 发现本人使用的BurpSuiteProv2023.1.1版本在使用内嵌浏览器第一次打开任意网站时该程序会自动发送一个请求polling.oastify.com域名的数据包。在如下情况中火绒剑并未发现程序访问远控polling.oastify.com域名
BurpSuiteProv2023.1.1版本在启动过程中并未发现访问恶意域名请求且在第一次发送完恶意域名通信数据包后浏览器打开新标签页面并未发现访问恶意域名请求关闭浏览器应用程序后第二次打开内嵌浏览器并访问任意网站并未发现访问恶意域名请求 地址解析
过多个查询IP平台测试目前polling.oastify.com域名解析地址为 54.220.122.8、63.33.151.92
