“蓝色魔眼”组织(APT-C-41)最新终端侧应急响应排查措施的经验分享

终端侧针对此攻击的应急响应有5个排查点，包括外连地址、注册表、文件、进程和启动项，具体排查内容如下：

通过技术手段发现，攻击活动样本的源地址sessionprotocol.com，详细域名如下图所示。

在真实环境下，解析远程IP地址为192.236.193.78，排查是否存在该外连IP地址。如存在，则会发现svvsrv.exe样本的进程路径，本机端口详情如下图所示。

如有Cnfmgrdata文件，如下图所示文件里将含simserv.exe和svvsrv.exe。