svchost连接国外IP问题记录

2024-02-27 14:17:15 2.4k 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

告别命令盲打：Volatility实战之恶意进程svchost深度解剖与文件提取全记录本文详细介绍了如何使用Volatility框架对恶意svchost进程进行深度内存取证分析，涵盖进程识别、DLL注入检测、文件提取及Rootkit对抗技术。通过实战案例，帮助安全人员掌握高级内存取证技巧，有效应对恶意进程隐藏与攻击行为。阅读详情

今天遇到 svchost 连接国外 IP 问题，已经有相关帖子了，但是超过回帖时间了，没法回复，单独发一个记录一下。

大概排查了一下，应该不是病毒。过程如下：

360里看到这两个连接
―――――――――――――――――――――――
程序名称：svchost.exe
程序说明：Windows 服务主进程
路径：C:\Windows\System32\svchost.exe
安全等级：安全
PID：4060
网络协议：TCP
本机地址：192.168.132.28
本地端口：49408
目标地址：20.198.162.76
目标端口：443
目标IP归属地：新加坡 * * * *
状态：连接

程序名称：svchost.exe
程序说明：Windows 服务主进程
路径：C:\Windows\System32\svchost.exe
安全等级：安全
PID：4060
网络协议：TCP
本机地址：192.168.132.28
本地端口：49409
目标地址：20.197.71.89
目标端口：443
目标IP归属地：新加坡 * * * *
状态：连接

两个进程PID都是 4060，在进程管理器里打开 PID 选项，看到进程名称是 Windows 推送通知系统服务，定位到服务里的简介：此服务在会话 0 中运行，并托管通知平台和连接提供程序(用于处理设备与 WNS 服务器之间的连接)。

启动进程和参数：C:\Windows\system32\svchost.exe -k netsvcs -p

...全文