## EternalBlue

机房整体性的随机蓝屏，我都是还在以解决大众化的蓝屏方案进行配置，但也发现一个问题，系统会自动更改了我之前设置过的注册表，发现这配置不可行，于是和某大学老师了解情况，据老师介绍说从最开始的几台蓝屏到机房整体性的随机蓝屏。老师叫来的网络专员也没查出所以然来...因为这件事，当晚，我搜寻到病毒运行机制、种类查阅了大概并做了存页。

> 图片摘自 [WannaMine4.0 警惕感染](https://www.northsoar.com/News/detial/206)

![](https://i.postimg.cc/sxbSmMnq/1553131272718754.jpg)


经过企业级杀软防火墙检测，我们发现在并未共享文件情况下，却存在共享文件的带宽，远高于传输通信流量的异常。很明显是在分发文件了，病毒类似于去中心化的网络互相分发，可以说目前面对的每一台都是母体。

共同确认为永恒之蓝后，从微软官网中查询到相应补丁下载安装修复了这类问题，跟360厂商也交流了后续意见：

* 选择封锁端口，安装最新杀软更新病毒库

在解决完问题后，我们也认识到影子系统对防病毒的不足。结合网上查询到的资料及[卡饭-影子系统评测（加入了EXE感染的测试）](https://bbs.kafan.cn/thread-1778185-1-1.html)，我推测还原系统被攻破的原因：

* 影子系统并不会真正把整个系统还原（影子系统还原比重装镜像还原的速度快太多）
* 病毒伪装成影子系统并不会还原的内部文件，通过执行不通知的程式代码，来完成整个暗箱破坏流程

其实这事换成大众的话早就解决了，先百度，然后有毒杀毒打补丁搞定。但是为什么这么多“专业人士”（够打脸的）搞了一天也没结果...我想应该是以下几个因素所致吧：

* 机房默认是没联外网的，也没注意到用是过时的杀软（病毒库长期未更新）...
* 机房设备是同时间采购的，使用年限也挺久了，有可能真是得换了（注意重心转移）
* 大家其实面对病毒的经验不足，也有时间隔断的太久生疏所致，此次病毒确实厉害

## Synaptics

多位同事反馈：网络异常缓慢，好好的机器有点卡顿异常，总部反馈过来说是有病毒攻击，我们发觉不对，并马上相应关闭感染主机的所在的交换机端口。得到讯息总部用赛门铁克杀软并未检测出病毒，倒是用[模拟攻击工具](https://www.cebnet.com.cn/20180504/102487944.html)，再配合流量检测查出的来的。

我们随后用其他厂商的杀软与其最新病毒库扫描发现了病毒程序Synaptics。网上看了该病毒的有关资讯，看了[相关站点介绍的部分安全厂商对Synaptics的病毒特征码](https://www.file.net/process/synaptics.exe.html)，结合查了下维基才发现，这个跟某企业合作的[趋势](https://zh.wikipedia.org/wiki/%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80)来头不小，对比其他安全厂商而言，有点厉害啊。不过，这些都是后话了。

运行反编译工具（IDA PRO、ILspy、Resource Hacker），选择要反编译的文件并点击打开，就可以看到源码了。观察该程序源码，并结合下方链接文章

* [Synaptics蠕虫木马分析](https://www.cnblogs.com/Gj-Dreamer/p/11353230.html)
* [新型蠕虫病毒来袭，竟伪装“Synaptics触摸板驱动程序”](https://news.tianyancha.com/ll_sjzzxzmr3j.html)

在得到病毒源码与安全厂商对此病毒的分析文章加持下，我们对Synaptics病毒的运作方式一目了然。

> 此图摘自 [亚信安全在搜狐新闻发布的此类病毒分析文章](https://www.sohu.com/a/360817037_648183)

![](https://i.postimg.cc/jSLXtyQ8/336bc.png)

之前新装的系统与运行了数字化工具程序的系统对比发现，运行了该程序的系统感染上了病毒，但眼前所见并不一定是完整的真实现象，只是现象的一部分。**有很多人因对环境的不熟悉，所以才把所见到的现象，当做完整的事实依据。**真实情况是：硬盘所有的可执行文件全都被感染了病毒。

以下是关于病毒处理建议：

* 不明文件用沙盒、虚拟化隔离运行，或是反编译查看源码
* 网上搜索不明文件的有关信息
* 注意同事反馈无征兆的程序、网络卡顿异常
* 对反馈的异常主机进行杀毒与网络检测
* 时时更新杀软的病毒库

在病毒发生时，监测并关闭相关共享端口，必要时甚至可以切掉主机所在交换机端口，进行隔离处理。备份好文档资料，格式化主机、移动设备盘符，再进行重装系统。

### 卸载杀软

安装两个杀软主要是为了加强防病毒，因为各自杀软都有一些不同标识的病毒程序识别的特征码。当然有些领导对计算机并不是特别了解，认为某安全卫士扫描的漏洞就认定电脑中毒，最好检测查杀完病毒后，卸载非与公司合作的杀毒软件。

::: tip
顺便推荐一篇对病毒介绍的通俗化文章：
* [在线查毒工具 VirusTotal 的 N 种玩法——从“误报/漏报”聊到“攻击者对它的利用”](https://program-think.blogspot.com/2020/03/VirusTotal-Tricks.html)
:::