反溯源-1

1 情报反溯源

在杀箱中，对恶意文件指向ip，进行反溯源，在情报中心，搜ip，反查域名，寻找投放者痕迹。因此，在投放前，需要全面考虑，木马投放后会不会被顺藤摸瓜，被溯源到，最后被人肉。最好是采用自动化攻击，尽可能转移溯源者的注意力，让他们在乱七八糟的假情报中风中迷乱。
tasklist > 123.txt
找到这个正在运行的程序，杀掉他

• taskkill /im beacon.exe /f
  /im 立即
  /f 强制结束
  

2 木马反查

一个思路是查进程，第二个思路是查对外连接，第三个思路是查流量，查流量不太懂。感觉不太妙的时候，换ip，不要下载恶意文件，一定要下载在虚拟机中进行，但是保证虚拟机中没有自己的任何特征，下载好后要过杀箱分析。对了，把摄像头封上。

• 经测试，换ip，关机都会下线，但是不杀灭进程，运行起来后还会上线
  查看可疑进程的位置
  三个思路

进程查

一般这么查，乱七八糟的，看的人凌乱了

msinfo32

用户查

• 查看可疑用户
  lusrmgr.msc
  

日志查

打开日志查看器
eventvwr.msc