电脑防肉鸡处置方法

办公电脑被集团公司通报两次,存在病毒病，并不断攻击其它电脑要求处理。系统重装了，杀毒软件也上了，还是没有清除。估计是硬盘被感染了，电脑权限被黑客夺了。
结束所有运行程序，断开网络，查询运行端口
netstat -a
活动连接
协议本地地址外部地址状态
TCP 0.0.0.0:135 wxdw-PC:0 LISTENING
TCP 0.0.0.0:445 wxdw-PC:0 LISTENING
TCP 0.0.0.0:5357 wxdw-PC:0 LISTENING
TCP 0.0.0.0:11200 wxdw-PC:0 LISTENING
TCP 0.0.0.0:16422 wxdw-PC:0 LISTENING
TCP 0.0.0.0:18386 wxdw-PC:0 LISTENING
TCP 0.0.0.0:21531 wxdw-PC:0 LISTENING
TCP 0.0.0.0:28653 wxdw-PC:0 LISTENING
TCP 0.0.0.0:49152 wxdw-PC:0 LISTENING
TCP 0.0.0.0:49153 wxdw-PC:0 LISTENING
TCP 0.0.0.0:49154 wxdw-PC:0 LISTENING
TCP 0.0.0.0:49155 wxdw-PC:0 LISTENING
TCP 0.0.0.0:49179 wxdw-PC:0 LISTENING
TCP 10.0.0.3:139 wxdw-PC:0 LISTENING
TCP 10.0.0.3:49425 220.181.163.130:http ESTABLISHED
TCP 10.0.0.3:49444 58.56.65.100:7534 ESTABLISHED
TCP 10.0.0.3:49467 203.119.129.47:https ESTABLISHED
TCP 10.0.0.3:49472 180.149.145.242:https CLOSE_WAIT
TCP 10.0.0.3:49635 115.239.210.219:5287 ESTABLISHED
TCP 10.0.0.3:49641 115.239.210.219:5287 ESTABLISHED
TCP 10.0.0.3:49661 113.96.232.146:8080 ESTABLISHED
TCP 10.0.0.3:49674 58.217.200.62:http CLOSE_WAIT
TCP 10.0.0.3:49686 58.217.200.62:http CLOSE_WAIT
TCP 10.0.0.3:51028 180.149.133.176:http LAST_ACK
TCP 10.0.0.3:51515 103.231.98.196:https TIME_WAIT
TCP 10.0.0.3:51585 180.163.255.156:https ESTABLISHED
TCP 10.0.0.3:51609 180.163.255.156:https ESTABLISHED
TCP 10.0.0.3:51622 180.163.255.156:https ESTABLISHED
TCP 10.0.0.3:51627 58.222.38.24:https TIME_WAIT
TCP 10.0.0.3:51793 106.39.162.97:https CLOSE_WAIT
TCP 10.0.0.3:51795 58.217.200.62:http TIME_WAIT
TCP 10.0.0.3:51798 59.37.97.23:https ESTABLISHED
TCP 10.0.0.3:51801 101.227.22.158:http TIME_WAIT
TCP 10.0.0.3:51802 193.112.237.121:http TIME_WAIT
TCP 10.0.0.3:51803 193.112.237.121:http TIME_WAIT
TCP 10.0.0.3:51804 193.112.237.121:http TIME_WAIT
TCP 10.0.0.3:51805 101.227.200.22:http CLOSE_WAIT
TCP 10.0.0.3:51806 101.227.22.158:http CLOSE_WAIT
TCP 10.0.0.3:51807 180.149.133.176:http ESTABLISHED
TCP 10.0.0.3:51808 117.48.124.216:http TIME_WAIT
TCP 10.0.0.3:51809 117.48.124.156:http TIME_WAIT
TCP 127.0.0.1:7475 wxdw-PC:0 LISTENING
TCP 127.0.0.1:8088 wxdw-PC:0 LISTENING
TCP 127.0.0.1:10000 wxdw-PC:0 LISTENING
TCP 127.0.0.1:16888 wxdw-PC:0 LISTENING
TCP 127.0.0.1:20871 wxdw-PC:0 LISTENING
TCP 127.0.0.1:21440 wxdw-PC:0 LISTENING
TCP 127.0.0.1:21441 wxdw-PC:0 LISTENING
TCP 127.0.0.1:45777 wxdw-PC:0 LISTENING
TCP 127.0.0.1:56741 wxdw-PC:56746 ESTABLISHED
TCP 127.0.0.1:56746 wxdw-PC:56741 ESTABLISHED
TCP [::]:135 wxdw-PC:0 LISTENING
TCP [::]:445 wxdw-PC:0 LISTENING
TCP [::]:5357 wxdw-PC:0 LISTENING
TCP [::]:49152 wxdw-PC:0 LISTENING
TCP [::]:49153 wxdw-PC:0 LISTENING
TCP [::]:49154 wxdw-PC:0 LISTENING
TCP [::]:49155 wxdw-PC:0 LISTENING
TCP [::]:49179 wxdw-PC:0 LISTENING
UDP 0.0.0.0:68 *:*
UDP 0.0.0.0:500 *:*
UDP 0.0.0.0:3702 *:*
UDP 0.0.0.0:3702 *:*
UDP 0.0.0.0:4500 *:*
UDP 0.0.0.0:5355 *:*
UDP 0.0.0.0:18386 *:*
UDP 0.0.0.0:20871 *:*
UDP 0.0.0.0:30550 *:*
UDP 0.0.0.0:50317 *:*
UDP 0.0.0.0:53817 *:*
UDP 0.0.0.0:54515 *:*
UDP 0.0.0.0:58746 *:*
UDP 0.0.0.0:60000 *:*
UDP 0.0.0.0:61660 *:*
UDP 0.0.0.0:64976 *:*
UDP 10.0.0.3:137 *:*
UDP 10.0.0.3:138 *:*
UDP 10.0.0.3:1900 *:*
UDP 10.0.0.3:2177 *:*
UDP 10.0.0.3:50703 *:*
UDP 127.0.0.1:1900 *:*
UDP 127.0.0.1:50704 *:*
UDP 127.0.0.1:52303 *:*
UDP 127.0.0.1:61659 *:*
UDP 127.0.0.1:62533 *:*
UDP [::]:500 *:*
UDP [::]:3702 *:*
UDP [::]:3702 *:*
UDP [::]:4500 *:*
UDP [::]:5355 *:*
UDP [::]:64977 *:*
UDP [::1]:1900 *:*
UDP [::1]:50702 *:*
UDP [fe80::5942:18bd:8edf:d2c6%11]:1900 *:*
UDP [fe80::5942:18bd:8edf:d2c6%11]:2177 *:*
UDP [fe80::5942:18bd:8edf:d2c6%11]:50701 *:*
说明是中招了。
处置方法：

(1)禁用所有可疑开机启动项
(2)取消远程协助和远程桌面连接
(3)关闭137、138、139、445和3389端口，
执行如下批命令
%1 mshta vbscript:CreateObject("Shell.Application").ShellExecute("cmd.exe","/c %~s0 ::","","runas",1)(window.close)&&exit

@echo off
color 1f
title 关闭135 137 138 139 445 3389 端口
echo.
echo.
echo.
echo 正在关闭135端口请稍候…
netsh advfirewall firewall add rule name = "Disable port 135 - TCP" dir = in action = block protocol = TCP localport = 135
echo.
netsh advfirewall firewall add rule name = "Disable port 135 - UDP" dir = in action = block protocol = UDP localport = 135
echo.
echo 正在关闭137端口请稍候…
netsh advfirewall firewall add rule name = "Disable port 137 - TCP" dir = in action = block protocol = TCP localport = 137
echo.
netsh advfirewall firewall add rule name = "Disable port 137 - UDP" dir = in action = block protocol = UDP localport = 137
echo.
echo 正在关闭138端口请稍候…
netsh advfirewall firewall add rule name = "Disable port 138 - TCP" dir = in action = block protocol = TCP localport = 138
echo.
netsh advfirewall firewall add rule name = "Disable port 138 - UDP" dir = in action = block protocol = UDP localport = 138
echo.
echo 正在关闭139端口请稍候…
netsh advfirewall firewall add rule name = "Disable port 139 - TCP" dir = in action = block protocol = TCP localport = 139
echo.
netsh advfirewall firewall add rule name = "Disable port 139 - UDP" dir = in action = block protocol = UDP localport = 139
echo.
echo 正在关闭445端口请稍候…
netsh advfirewall firewall add rule name = "Disable port 445 - TCP" dir = in action = block protocol = TCP localport = 445
echo.
netsh advfirewall firewall add rule name = "Disable port 445 - UDP" dir = in action = block protocol = UDP localport = 445
echo 正在关闭3389端口请稍候…
netsh advfirewall firewall add rule name = "Disable port 3389 - TCP" dir = in action = block protocol = TCP localport = 3389
echo.
echo 按任意键退出
pause>nul
(4)启动系统审核策略
“开始”——“运行”框中输入“gpedit.msc”进入组策略编辑器，在计算机配置——Windows设置——安全设置——本地策略——审核策略中，将审核登录事件、审核对象访问、审核系统事件和审核帐户登录事件启用成功方式的审核。

图片发自简书App

(5)用户权利指派

同样在组策略编辑器，在计算机配置——Windows设置——安全设置——本地策略——用户权利指派中，将“从网络访问此计算机”策略中的所用用户都删除，在“拒绝从网络访问此计算机”策略中确保已有“everyone”帐户，然后再删除“通过终端服务允许登录”策略中的所有用户，并确保在“通过终端服务拒绝登录”策略中有“everyone”帐户。

图片发自简书App

(6)禁用系统默认共享
在组策略编辑器中，计算机配置——Windows设置——安全设置——安全选项，将“网络访问：不允许SAM帐户的匿名枚举”及“网络访问：不允许SAM帐户和共享的匿名枚举”全部启用;将“网络访问：可匿名访问的共享”、“可匿名访问的管道”及“可远程访问的注册表路径”中的内容全部删除。

图片发自简书App

(6)安装杀毒软件查杀

人面猴
序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
沈念sama阅读 227,283评论 6赞 530
死咒
序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
沈念sama阅读 97,947评论 3赞 413
救了他两次的神仙让他今天三更去死
文/潘晓璐我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
开封第一讲书人阅读 175,094评论 0赞 373
道士缉凶录：失踪的卖姜人
文/不坏的土叔我叫张陵，是天一观的道长。经常有香客问我，道长，这世上最难降的妖魔是什么？我笑而不...
开封第一讲书人阅读 62,485评论 1赞 308
港岛之恋（遗憾婚礼）
正文为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
茶点故事阅读 71,268评论 6赞 405
恶毒庶女顶嫁案：这布局不是一般人想出来的
文/花漫我一把揭开白布。她就那样静静地躺着，像睡着了一般。火红的嫁衣衬着肌肤如雪。梳的纹丝不乱的头发上，一...
开封第一讲书人阅读 54,817评论 1赞 321
城市分裂传说
那天，我揣着相机与录音，去河边找鬼。笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。我是一名探鬼主播，决...
沈念sama阅读 42,906评论 3赞 440
双鸳鸯连环套：你想象不到人心有多黑
文/苍兰香墨我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
开封第一讲书人阅读 42,039评论 0赞 285
万荣杀人案实录
序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
沈念sama阅读 48,551评论 1赞 331
护林员之死
正文独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋以下内容为张勋视角年9月15日...
茶点故事阅读 40,502评论 3赞 354
白月光启示录
正文我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
茶点故事阅读 42,662评论 1赞 366
活死人
序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
沈念sama阅读 38,188评论 5赞 356
日本核电站爆炸内幕
正文年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
茶点故事阅读 43,907评论 3赞 345
男人毒药：我在死后第九天来索命
文/蒙蒙一、第九天我趴在偏房一处隐蔽的房顶上张望。院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
开封第一讲书人阅读 34,304评论 0赞 25
一桩弑父案，背后竟有这般阴谋
文/苍兰香墨我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。一阵脚步声响...
开封第一讲书人阅读 35,563评论 1赞 281
情欲美人皮
我被黑心中介骗来泰国打工，没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。一个月前我还...
沈念sama阅读 51,255评论 3赞 389
代替公主和亲
正文我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
茶点故事阅读 47,637评论 2赞 370

电脑防肉鸡处置方法

推荐阅读更多精彩内容