Add files via upload

Chapter7/7-25.md

@@ -0,0 +1,46 @@
+### 挖矿病毒应急思路
+
+**1. 遏制**
+
+当发现病毒时，首要任务是阻止其进一步扩散，并保留现场证据
+
+- **确认事件**：通过告警、资源占用异常（CPU、GPU 飙升）、网络流量异常、可疑进程等现象，确认是挖矿病毒事件
+- **隔离受感染主机**：
+  - **物理隔离**：最直接的方式，拔掉网线或断开 Wi-Fi 连接
+  - **网络隔离**：在交换机或防火墙上，将受感染主机的 IP 或 MAC 地址加入黑名单，或将其移动到隔离的 VLAN 中
+- **保留现场**：不要急于重启或关机，这会丢失宝贵的内存数据
+
+**2. 取证与分析**
+
+这是溯源和清除的关键环节
+
+- **内存取证**：
+  - 使用 Volatility 等工具对受感染主机的内存进行镜像
+  - 分析内存镜像，寻找恶意进程、网络连接、注入的 DLL、rootkit 痕迹等
+- **系统取证**：
+  - **进程分析**：使用 Process Explorer 或 Process Monitor，查找 CPU 或 GPU 占用率异常的进程。注意那些名字可疑或隐藏在系统目录下的进程
+  - **网络分析**：使用 Wireshark 或 TCPView，检查是否有异常的网络连接，特别是连接到矿池的 IP 地址或域名
+  - **文件分析**：查找可疑的文件，如挖矿程序、配置文件、定时任务脚本等。注意文件的时间戳，并寻找隐藏或伪装的文件
+  - **启动项与定时任务**：检查系统的自启动项（注册表、启动文件夹）和定时任务（`schtasks`），找出病毒的持久化机制
+  - **日志分析**：
+    - **系统日志**：检查是否有异常的登录记录、服务启动失败等
+    - **安全日志**：查看是否有暴力破解、提权等事件
+- **恶意文件分析**：
+  - **静态分析**：使用反汇编工具或在线沙箱（如 VirusTotal），查看恶意文件的哈希值、字符串、行为特征等
+  - **动态分析**：在隔离环境中运行恶意文件，观察其行为，包括创建或修改哪些文件、连接哪些 IP 地址、如何进行提权等
+
+**3. 彻底清除与修复**
+
+基于分析结果，制定详细的清除计划
+
+- **清除恶意程序**：
+  - 根据分析结果，终止恶意进程
+  - 删除所有相关的恶意文件、启动项和定时任务
+  - 清除注册表中与病毒相关的键值
+- **修复漏洞**：
+  - 如果病毒是通过系统漏洞（如永恒之蓝）传播的，立即打上相应的补丁
+  - 关闭不必要的端口和服务
+  - 修改弱口令，强制所有用户使用强密码
+- **全网扫描**：
+  - 使用企业级的杀毒软件对全网进行扫描，确保没有其他被感染的主机
+  - 对所有主机进行安全基线检查，加固配置