windows 服务器中出现随机字母组成的奇怪服务名

[gvdlmjwje]

最近在几台服务器上发现很多由 4 个随机字母组成的服务名，且服务属性中显示在 windows 目录下存在随机名组成的 exe 文件，不过这些 exe 都已经没有了。另外，部分 exe 存在计划任务。

执行过杀软和 EDR 的扫描，未见有什么异常。

有没有老哥知道这些是啥玩意儿？

后来在 360 恢复区找到了原始 exe ，发 md5 给深信服的分析了下，这玩意儿就是木马。属于 remcomsvc 类 hacktool 。
解决方法：直接用 HiBitUninstaller 把木马的服务、注册表和计划任务删掉；更新 windows 补丁。实测 360 、SEP 、深信服 EDR 都能查杀。

[klxyy]

叫你在服务器里乱装软件

[yyzh]

一般都是立即断网备份然后重装系统

[opengps]

这玩意，每次都有新身份，每次用完都要变身，那很明显不是好东西

[lcorange]

重装系统吧，windows 文件夹下面肯定不会有这种 exe 的

[sabermiao]

明显是被 psexec 之类的方式打了

[gvdlmjwje]

@klxyy 冤枉啊 不是我干的 接手的时候就有了- -|||

[yinmin]

如果接手时间不长，把锅甩出去。直接向领导打报告，说明服务器有被入侵的痕迹，要求重装服务器。

你根本不知道黑客在哪个地方留后手，没必要折腾，时间长了就是自己背锅。

[gvdlmjwje]

@sabermiao 差不多，是 remcomsvc 类工具打的。