可疑命令执行

重保

风险资产

受影响资产

K3-应用服务器

事件说明

告警发生时间

首次: 2023-06-20 20:22:31

最新: 2023-06-20 20:22:31

处理:

该进程的命令行异常，正常进程有较大的区别。

该进程的命令行与正常进程有较大的区别，有可能与恶意软件或黑客有关

处置建议:

1.验证告警的准确性

司)检查告警中的内容。在互联网或威助情报平台上搜索

b)联系该设备所有者，验证该活动是否合法。

c)查看该设备是否还有其他类型的告警。交叉验证告警准确性

d)使用“告警溯源”、“日志分析”功能，深入调查告警。

2阳止或缓解恶意行为造成的影响，您可以隔离可疑文件、停止可疑进程、隔离受影响的机器、停用受感染的帐户或重置密码、阻止

IP 地址和 URL，并安装安全更新。

3.调查告警消除根因。执行漏洞扫描、基线检查，查找已知的弱点并进行修复.

4.联系您的安全事件响应团队，或者购买第三方应急响应服务，例如安全管家协助进行处理

更多信息

命令行 ping apach**.**.***e.io

进程ID 2180

父进程ID

进程链

10448-[452]

wininit.exe

-[548] C: Windows system32\serwices.exe

-[2272] C: Windows system32\swchost,exe -k iissvcs-[9592] c:\windows\system32\inetsrv\w3wp.exe -ap "k3Cloud" -v "y4.0" -1"webengine4.d11”-a pipe iisipm*********************07097 -h"C:\inetpub\templapppools\k3Cloud\k3Cloud.config" -w " -m 0 -t 20 -ta @

[10448] "C:\Windows\System32\cmd.exe" /c ping apac**.**.***e.io

事件说明:检测模型发现您的服务器上执行的进程命令行高度可疑，很有可能与木马、病毒、黑客行为有关

检测引擎:

产品问题阿里云扫描到可疑命令执行，该如何辨别和处理呢？

200 产品问题 阿里云扫描到可疑命令执行，该如何辨别和处理呢？

恭喜您！

产品问题
阿里云扫描到可疑命令执行，该如何辨别和处理呢？

200 产品问题阿里云扫描到可疑命令执行，该如何辨别和处理呢？