网络安全检测|网络安全服务|网络安全扫描-香港墨客投资移动版

创建了几个 ActiveX 对象，包括用于发送 HTTP 请求的“Msxml2.XMLHTTP”、用于操作文件的“Scripting.FileSystemObject”和用于执行 shell 命令的“WScript.Shell”。

使用“Msxml2.XMLHTTP”对象的“打开”和“发送”方法向指定的 URL 发送 GET 请求，请求down.b591.com:8888/kill.html尝试下载文件，并将响应文本保存到变量中。

将响应文本拆分为一个数组并循环遍历每个元素。对于每个元素，它再次将其分成两部分：进程名称和文件路径。

使用“WScript.Shell”对象的“Run”方法来执行 shell 命令“taskkill /f /im”，后跟进程名称。这将强制终止指定的进程。

如果元素的第二部分为 0，则使用“Scripting.FileSystemObject”对象的“DeleteFile”方法删除指定的文件路径。

由于入侵时间久远（初步判断为2015年10月14日），数据库日志和系统日志缺失，且服务器审核策略未完全配置，无法准确溯源

根据威胁情报大概判断入侵路径为利用暴露在外网的SQL Server数据库弱密码爆破方式入侵该windows服务器（该服务器已在几年前禁止与外网通信），最后建立sqlserver计划作业任务来进行下一步的挖矿动作。

1. 建议数据库和RDP等避免使用弱密码，避免多个系统使用同一个密码，登录口令需要满足等保要求的长度和复杂度，并且定期更换口令。

2. 关闭数据库账号登录方式，以 windows 身份验证方式登录数据库，并在 windows 策略里设置密码强度。

3. 建议加强安全管理，建立网络安全应急处置机制，完善系统日志审核策略、存储容量及存储方式，配合安全设备做好监测措施，及时发现攻击风险，及时处理。