conducting-malware-incident-response

开展恶意软件事件响应

何时使用

• EDR 或杀毒软件检测到一个或多个端点上的恶意软件执行
• 用户报告表明存在恶意软件感染的异常系统行为
• 威胁情报显示存在针对组织所在行业的恶意软件活动
• 网络监控检测到与已知恶意软件 C2 模式一致的信标流量
• 沙箱中的文件引爆返回恶意判定

不要使用于研究场景中的恶意软件样本分析；逆向工程请使用专门的恶意软件分析流程。

前置条件

• 具备进程树可见性和主机隔离能力的 EDR 平台
• 恶意软件沙箱环境（Cuckoo、ANY.RUN、Joe Sandbox、Hybrid Analysis）
• 可访问威胁情报平台以识别恶意软件家族（VirusTotal、MalwareBazaar）
• 用于证据保全的取证镜像工具（FTK Imager、KAPE）
• 用于端点重建的干净系统镜像或黄金镜像
• 用于技术映射的 MITRE ATT&CK 框架参考

工作流

第 1 步：检测并确认恶意软件存在

验证恶意软件告警并收集初始指标：

• 查看 EDR 告警详情：检测名称、文件路径、哈希（SHA-256）、进程树
• 检查该检测是已知恶意软件家族还是通用启发式检测
• 在 VirusTotal、MalwareBazaar 和内部威胁情报中查询该文件哈希
• 检查进程执行链以确定恶意软件是如何投递的

Detection Summary:
File:        C:\Users\jsmith\AppData\Local\Temp\update.exe
SHA-256:     a1b2c3d4e5f6...
Detection:   CrowdStrike: Malware/Qakbot | VirusTotal: 58/72 engines
Parent:      WINWORD.EXE → cmd.exe → powershell.exe → update.exe
Delivery:    Email attachment (Invoice-Nov2025.docm)
Network:     HTTPS POST to 185.220.101[.]42:443 every 60s
Persistence: Scheduled Task "WindowsUpdate" → update.exe

第 2 步：确定感染范围

确定有多少系统受影响以及恶意软件的传播方式：

• 使用 EDR 在所有端点中搜索该恶意软件哈希、文件名和行为指标
• 检查是否存在基于网络的传播（SMB、WMI、PsExec、漏洞利用）
• 查询电子邮件网关日志，找出投递邮件的所有收件人
• 搜索其他内部主机与已识别基础设施之间的 C2 通信
• 检查所有已识别受感染主机上的持久化机制

第 3 步：遏制受感染系统

按照活动入侵遏制流程执行遏制：

• 通过 EDR 遏制对受感染端点进行网络隔离
• 在防火墙和 DNS 处封锁恶意软件 C2 基础设施
• 在全组织范围内的 EDR 防护策略中封锁该恶意软件哈希
• 从所有邮箱中隔离投递邮件（如果是通过电子邮件投递的）
• 如果怀疑凭据被盗，禁用被入侵的用户账户

第 4 步：分析恶意软件

执行足够的分析以支持彻底清除：

• 将样本提交到沙箱进行动态分析（行为报告、释放的文件、网络 IOC）
• 识别所有持久化机制：注册表项、计划任务、服务、WMI 订阅、启动文件夹
• 记录所有文件系统痕迹：释放的文件、修改的文件、创建的目录
• 提取网络 IOC：C2 域名、IP、URL、用户代理、JA3/JA3S 哈希
• 将观察到的行为映射到 MITRE ATT&CK 技术

Malware Analysis Summary - Qakbot Variant
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
Initial Access:   T1566.001 - Spearphishing Attachment (.docm)
Execution:        T1059.001 - PowerShell (encoded downloader)
Persistence:      T1053.005 - Scheduled Task
Defense Evasion:  T1055.012 - Process Hollowing (explorer.exe)
C2:               T1071.001 - HTTPS with custom headers
Collection:       T1005 - Data from Local System (browser credentials)
Exfiltration:     T1041 - Exfiltration Over C2 Channel

Artifacts:
- C:\Users\*\AppData\Local\Temp\update.exe (dropper)
- C:\ProgramData\Microsoft\{GUID}\config.dll (payload)
- HKCU\Software\Microsoft\Windows\CurrentVersion\Run\{random} (backup persistence)
- Scheduled Task: "WindowsUpdate" (primary persistence)

第 5 步：清除恶意软件

从每个受感染系统中移除所有恶意软件痕迹：

• 终止恶意进程和注入的线程
• 从所有已识别路径中删除恶意软件文件
• 移除持久化机制（计划任务、注册表项、服务、WMI 订阅）
• 如果确认存在凭据窃取，清除浏览器凭据存储
• 运行完整的 EDR 扫描以验证没有残留痕迹
• 如果清除信心不足，从已知干净的黄金镜像重新镜像该系统

第 6 步：恢复并验证

将系统恢复到生产环境并验证干净状态：

• 分阶段将已遏制的系统重新连接到网络
• 监控 72 小时，观察是否有任何恶意软件指标复发
• 强制重置受感染端点上所有用户的密码
• 验证整个环境中的 C2 流量已完全停止
• 根据调查中新发现的 IOC 更新检测规则
• 将 IOC 分发给威胁情报共享伙伴（ISAC、MISP）

关键概念

术语	定义
恶意软件家族	按共享代码、基础设施或行为模式划分的恶意软件变体分类（例如 Qakbot、Emotet、Cobalt Strike）
进程挖空	恶意软件创建处于挂起状态的合法进程，用恶意代码替换其内存，然后恢复执行的技术
Beacon	恶意软件与其 C2 服务之间的周期性网络通信，通常具有固定间隔和抖动以规避检测
Dropper	下载或解包主要载荷的初始恶意软件组件；通常通过网络钓鱼投递
持久化机制	恶意软件用于在系统重启后存活的方法（注册表运行键、计划任务、服务、WMI 事件订阅）
IOC（入侵指标）	表明恶意软件存在的可观察痕迹，如文件哈希、IP 地址、域名或注册表键

工具与系统

• CrowdStrike Falcon / Microsoft Defender for Endpoint：用于检测、遏制和威胁狩猎的 EDR 平台
• ANY.RUN / Joe Sandbox：用于动态行为分析的交互式恶意软件沙箱
• VirusTotal / MalwareBazaar：用于样本识别和 IOC 富化的恶意软件情报平台
• KAPE（Kroll Artifact Parser and Extractor）：用于从受感染终端快速收集痕迹的取证分类工具
• YARA：用于根据观察到的指标创建自定义恶意软件检测规则的模式匹配引擎

常见场景

场景：Emotet 加载器导致 Cobalt Strike 部署

背景：EDR 检测到一个启用宏的文档启动了 PowerShell，下载了 Emotet DLL，随后加载了 Cobalt Strike beacon。三台主机在 45 分钟内被感染。

处理方法：

1. 立即隔离所有三台主机，并在边界阻止 C2 IP
2. 在电子邮件网关中搜索原始网络钓鱼邮件的所有收件人并将其隔离
3. 在所有终端上扫描 Emotet DLL 哈希和 Cobalt Strike beacon 指标
4. 分析 Cobalt Strike beacon 配置，提取水印、C2 配置文件和暂存 URL
5. 检查凭据窃取（Mimikatz/LSASS 转储）和横向移动痕迹
6. 清除所有恶意软件痕迹，并为受影响用户重置凭据

陷阱：

• 只关注 Emotet 而遗漏 Cobalt Strike 第二阶段载荷
• 未能提取并阻止 Cobalt Strike Malleable C2 配置文件指标
• 未检查初始检测之外的其他持久化（Emotet 通常安装多个备用持久化机制）

输出格式

MALWARE INCIDENT RESPONSE REPORT
=================================
Incident:         INC-2025-1547
Malware Family:   Qakbot (variant: Obama265)
Delivery Vector:  Spearphishing attachment (Invoice-Nov2025.docm)
First Detection:  2025-11-15T14:23:17Z
Scope:            4 endpoints confirmed infected

INFECTION TIMELINE
14:18 UTC - Phishing email received by [email protected]
14:19 UTC - Macro executed in WINWORD.EXE
14:20 UTC - PowerShell downloads update.exe from staging server
14:21 UTC - update.exe establishes persistence (Scheduled Task)
14:23 UTC - C2 beacon initiated to 185.220.101[.]42
14:35 UTC - Lateral spread to WKSTN-087 via stolen credentials
14:42 UTC - EDR detection fires, SOC alerted

IOCs EXTRACTED
File Hashes:  [SHA-256 list]
C2 Domains:   [domain list]
C2 IPs:       [IP list]
File Paths:   [artifact paths]

ERADICATION STATUS
[x] All malware artifacts removed from 4 hosts
[x] Persistence mechanisms deleted
[x] C2 infrastructure blocked
[x] Compromised credentials reset
[x] Email quarantined from all mailboxes

RECOMMENDATIONS
1. Deploy YARA rule for Qakbot variant detection
2. Block macro execution in documents from external senders
3. Implement application whitelisting on finance workstations