常见病毒与
企业威胁分析库

典型迹象

• 大量文件突然改名或无法打开
• 共享目录集中异常写入
• 出现勒索说明或备份被停用

首要处置

隔离受影响设备和共享存储，限制高权限账户，保存日志与时间线；不要急于重装、付款或运行来历不明的解密工具。

长期防护

离线或不可变备份、恢复演练、最小权限、网络分段、补丁管理、邮件防护与 EDR 行为检测。

产品评估方向

终端行为检测、EDR/XDR 调查、邮件与网关防护、MDR 和事件响应服务。

典型迹象

• 多台 Windows 设备短时同时异常
• SMB 流量与内部连接明显增加
• 文件加密并出现对应勒索界面

首要处置

隔离感染网段和主机，限制不必要的 SMB 通信，核对补丁与暴露情况，并全网搜索同类迹象。

长期防护

淘汰不受支持系统、及时修补、关闭 SMBv1、网络分段、资产盘点以及离线备份。

为什么仍值得看

它不是“最新病毒”，但仍是解释漏洞管理、分区隔离与恢复演练价值的典型案例。

典型迹象

• 陌生地点或设备登录
• 浏览器凭据文件被异常访问
• 少量但持续的可疑外联

首要处置

隔离设备；从可信设备撤销会话并更换凭据，同时检查邮箱规则、API 密钥、云账户和其他复用密码。

长期防护

MFA、密码管理器、令牌保护、终端行为监测、登录风险分析与高权限账户隔离。

常见误区

只修改密码但不撤销会话，可能无法终止已被窃取令牌对应的有效访问。

典型迹象

• 紧急付款或收款账户突然变更
• 出现陌生转发、收件规则或委派权限
• 登录、设备或第三方应用授权异常

首要处置

暂停可疑付款或资料发送，通过通讯录、合同或已验证号码独立回拨；再从可信设备限制会话并检查邮箱规则和授权。

长期防护

抗钓鱼 MFA、邮件与身份审计、付款双人复核、供应商变更确认，以及邮件、终端与身份信号联动。

判断边界

可疑语气或显示名不能单独证明账户失陷，应结合邮件头、身份日志、终端证据和业务记录判断。

典型迹象

• 未知服务、启动项或计划任务
• 非业务时段持续异常外联
• 安全设置被修改或新增账户

首要处置

隔离设备、保留证据、撤销相关账户会话，并排查同一外联或持久化迹象是否存在于其他资产。

长期防护

EDR、应用控制、管理员权限治理、远程管理工具白名单和周期性威胁狩猎。

判断边界

Remcos 等工具可能存在合法用途，应结合来源、授权、行为和使用场景判断，不能仅凭文件名定性。

典型迹象

• 脚本或办公软件子进程发起下载
• 临时目录运行未知程序
• 短时间连续出现不同类型告警

首要处置

按潜在复合入侵处理：隔离终端，回看进程链、外联、落地文件和持久化，并搜索后续载荷。

长期防护

邮件和网页过滤、脚本控制、行为检测、应用白名单及跨阶段告警关联。

状态说明

具体家族的基础设施和活跃状态会变化，不能把历史报道直接当作当前威胁态势。

典型迹象

• 多台终端短时出现相同告警
• 内部扫描与连接数量激增
• SMB、RDP 等管理协议异常

首要处置

隔离感染网段和主机，临时限制相关横向协议，确认漏洞与最初入口，并全网排查同类迹象。

长期防护

及时修补、网络分段、关闭不必要服务、限制管理协议、终端统一管理与资产发现。

产品评估方向

端点检测、漏洞与补丁管理、网络可见性、XDR 关联和统一事件处置。

典型迹象

• 摄像头或网关周期性异常外联
• DNS 请求和出口流量异常
• 设备负载升高或配置被修改

首要处置

隔离设备，阻断已确认的控制通信，检查配置与固件，并更换默认或可能泄露的管理凭据。

长期防护

默认口令治理、固件更新、IoT 网络隔离、出口监测、资产盘点与淘汰无法维护的设备。

判断边界

Mirai 有大量衍生变种。具体检测名称和活跃基础设施必须依据近期情报核验。

典型迹象

• CPU/GPU 长期高负载
• 云费用或容器数量异常
• 连接矿池类地址或出现未知任务

首要处置

隔离资产，保存进程、容器与云审计记录，清理持久化，并轮换可能泄露的云密钥与凭据。

长期防护

云权限最小化、镜像治理、工作负载保护、资源基线、费用告警与互联网暴露面管理。

常见误区

XMRig 等程序本身可有合法用途，应结合授权、来源与部署方式判断是否属于恶意活动。

典型迹象

• 出现未知脚本或网页文件异常修改
• Web 服务进程启动命令程序
• 可疑 POST 请求与服务器异常外联

首要处置

限制或隔离受影响服务，保全快照和日志，核查最初入口、持久化与影响范围，并轮换相关凭据和密钥。

长期防护

及时修补、文件完整性监控、WAF、发布权限隔离、安全开发与基于可信镜像的重建。

常见误区

删除已发现的脚本不代表入口已修复，也不能证明不存在其他后门或失窃凭据。

典型迹象

• 相似但不完全相同的发件域名
• 制造紧迫感的付款或登录要求
• 文档诱导启用内容或触发异常子进程

首要处置

撤回或隔离邮件，阻断已确认的链接和附件，检查点击与登录记录；如已输入凭据，应从可信设备撤销会话。

长期防护

邮件安全、MFA、宏与脚本限制、员工演练，以及付款和账户变更的二次核验。

产品评估方向

邮件防护、终端行为检测、身份风险、威胁情报与员工安全意识培训。

典型迹象

• 脚本解释器出现异常进程链
• 合法管理工具在异常账户或时段运行
• 未知计划任务与内存检测告警

首要处置

隔离设备，保存命令行、内存和 EDR 遥测，核对执行账户，并搜索相同远程执行与持久化迹象。

长期防护

行为型 EDR、脚本日志、攻击面缩减、管理工具使用基线与高权限账户隔离。

为什么传统扫描不够

攻击可能主要存在于内存或合法进程链中，需要行为关联和集中遥测辅助判断。

典型迹象

• 插入介质后立即产生告警
• 文件被隐藏并出现异常快捷方式
• 同一可疑文件出现在多台离线设备

首要处置

停止继续使用相关介质，隔离受影响主机，检查介质接触记录，并对同批设备统一排查。

长期防护

介质准入、自动扫描、设备控制、只读传输流程、专用交换设备和生产网络分区。

产品评估方向

终端与服务器防护、设备控制、离线更新、集中管理及工业安全能力。

典型迹象

• 未知管理员账户或配置变化
• 公开服务日志异常增加
• 服务器出现后门、异常登录或外联

首要处置

限制暴露面，应用厂商缓解或补丁，保留日志，并检查是否已建立后门、盗取凭据或访问数据。

长期防护

外部资产清单、补丁 SLA、管理面访问控制、MFA、集中日志与持续暴露面监测。

判断边界

具体 CVE、受影响版本和是否已被利用必须引用带日期的厂商公告、CNVD/CNNVD 或 NVD 资料。