win10 被黑了，被植入挖矿软件

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

› 升级到 Windows 11

这是一个创建于 2121 天前的主题，其中的信息可能已经有所发展或是发生改变。

今天中午吃完饭回来，发现电脑莫名其妙的重启了一下，
火绒杀毒被莫名其妙关了并且还启动不了。
然后电脑被加入一个 a 管理员的账户。
我登录一下他就把我挤下线。
电脑里也多了一个门罗币挖矿病毒，

而且这个变态在我的启动开始启动目录插入一首杨幂的背景音乐，还有一个 txt 文档，

估计是我 win10 开启远程密码设置的不是太复杂（三位字母+十位数字）被扫出来了。

windows 电脑开启远程后，有没有什么比较好的方式防止被别人这样一直尝试密码呢，
同时不影响自己手机上远程电脑。

第 1 条附言 · 2019-03-08 17:19:24 +08:00

里面是这样的。

后面找火绒的工程师远程处理了一下，找到了一个藏在缓存里面的 bat 脚本，
被隐藏挂载在资源管理器里面，
然后把火绒软件加固了一下，防篡改。
把电脑里面那个软件生成的后门进程也清理了一下。
应该基本无碍。

现在就想着，怎么加固一下防御，
这种想想很恐怖，突然电脑就被人登录了，
重启电脑弹出我爱杨幂播着杨幂的歌。。
还和你来回挤

这个小黑用 a 账户留下的文件

win10

电脑

远程

莫名其妙

49 条回复 • 2019-03-09 16:02:17 +08:00

Tink

2019-03-08 16:18:57 +08:00 via iPhone

你的电脑外网能直接访问到？

5200

2019-03-08 16:22:54 +08:00

@Tink 是的。FRP 弄了一下，方便在吃放的时候，或者逛超市的老板突然叫你处理问题 - -。用来用去苹果机上好像原生的 RDP 比较流畅

jasonyang9

2019-03-08 16:23:35 +08:00

RDP 端口没改？

5200

2019-03-08 16:25:05 +08:00

@jasonyang9 改了呢，改成 20181 端口了。那些人是不是天天闲着一直扫你电脑密码

Tink

2019-03-08 16:25:45 +08:00 via iPhone

@5200 #2 既然 frp 暴露了就把补丁和密码上足啊

DreaMQ

2019-03-08 16:26:51 +08:00 via iPhone

不知 Windows 能不能证书登录
不行的话，就设一个超级复杂的密码，随他猜吧

5200

2019-03-08 16:27:32 +08:00

@Tink 本来以为三位字母加十位数字已经够了，看来低估他们了，补丁那个得装什么的，应该更新过几次 win10，后面自动更新太频繁了直接禁用更新了。

baiduer123

2019-03-08 16:30:45 +08:00

我爱杨幂？什么鬼？

Greenm

2019-03-08 16:32:56 +08:00

看一下是不是装的其他服务暴露出了端口被攻击了，照理来说有密码也改了端口应该没那么容易，最好再看下日志确认一下。

Patrick95

2019-03-08 16:35:44 +08:00 via iPhone

Love's support ？爱的供养？

crab

2019-03-08 16:36:20 +08:00

看下文件创建时间之前这段时间执行什么了。3389 换了没理由还这样，除非是针对性。

7654

2019-03-08 16:37:59 +08:00

不一定是远程桌面的锅

des

2019-03-08 16:39:49 +08:00 via Android

风评被害

shintendo

2019-03-08 16:40:44 +08:00

对不起我笑了

andylsr

2019-03-08 16:42:22 +08:00 via Android

你怕不是上了什么不该上的网站~点了什么不该点的东西🐶🐶🐶

nullornull

2019-03-08 16:46:26 +08:00

1.换了 5 位数的非常用端口,密码也是 13 位的字母加数字,可能不是远程桌面密码被破的原因;
2.楼主用 frp 的话,可以试试 stcp,可以安全地暴露内网服务;
3.最后那个背景音乐和 txt 文档笑死我了

Madcrow

2019-03-08 16:46:43 +08:00 via Android

哈哈哈，卧槽

torment5524

2019-03-08 16:53:38 +08:00

感觉是中了马。
因为如果是你的密码被扫出来，直接登录你的账号不就完了？还加什么 a 账户啊。。。

nfroot

2019-03-08 16:54:48 +08:00

3 字母+10 数字应该不是暴力破解。
远程桌面存在漏洞的可能性也极小。

不过对方从互联网通过远程桌面把你顶下去，这点就很可疑了。

godspeedyou

2019-03-08 16:59:17 +08:00

Love's support 哈哈哈

nigelvon

2019-03-08 17:03:19 +08:00

密码说这个锅我不背

jasonyang9

2019-03-08 17:07:02 +08:00

肯定是从外网通过 FRP 进来的么？说不定是从内网其它主机

deepdark

2019-03-08 17:14:15 +08:00 via Android

这个人好骚啊哈哈哈哈哈哈

dlsflh

2019-03-08 17:17:10 +08:00

你同事恶搞你呢吧

VEEX6

2019-03-08 17:17:12 +08:00 via Android

冰点还原毫无压力

sdlearn

2019-03-08 17:17:25 +08:00 via Android

这就厉害了，这么长的密码都能扫进去

WuwuGin

2019-03-08 17:19:18 +08:00

这人恶趣味的，哪有装了挖矿还让你知道的。。

5200

2019-03-08 17:25:05 +08:00

@WuwuGin
@dlsflh

大中午同事都在睡觉，我吃饭比较晚回来刚好看到电脑重启，
说真的我看被人挤我还特意环顾了一下四周。。

挖矿是看电脑打开软件很卡，
然后打开任务管理器发现 CPU 暴涨，
这个进程还结束不了删不掉，
我就直接把网断了。
软件就消停了，后面从其他电脑下载杀毒软件简单的杀了一边。