如何判断一台 Windows 机器是否是僵尸网络的一部分？

Question

是否有“最佳”方法来检测 Windows（假设 XP）机器是否是僵尸网络的一部分？

Answer 1

Answer 2

我会推荐三个工具来确定您的系统是否是僵尸网络的一部分。sysinternals 工具套件是此过程的必备工具。下面列出的三个工具是您将在此过程中使用的工具。

第一步是运行 TCPView 以查看您是否正在与网络上的任何奇怪地址交谈。您应该能够识别您正在与之交谈的所有站点。如果您发现正在访问的网站无法识别，那么现在是时候仔细查看正在发生的事情了。

一般来说，当你的机器上有一个僵尸网络时，它会在某个时候通过互联网传播，并且当它确实注意到时。

一旦您确定了未经授权的流量，您通常可以看到哪个程序正在尝试建立连接。这是您转到流程浏览器的地方，您将在此处尝试收集有关流程的尽可能多的有用信息。当您终止可疑进程时，请务必注意。如果您获得了正确的流程，跨线路的未经授权的通信应该会停止。

接下来，您转到 filemon 以确保恶意软件没有打开另一个文件以试图使其自身保持活动状态。

这是一个循环过程，但是当您一次删除一个程序时，如果有问题，您就会发现问题。