防火墙两个IP同时告警远控木马真的是两台中招吗——一次移动热点NAT引发的幽灵双IP处置复盘适合读者网络安全运维、等保/护网一线处置人员关键词farfli、移动热点、ICS、NAT、僵尸网络信标、IP-MAC绑定、溯源0. 写在前面脱敏说明本文根据一次真实发生的内网安全事件脱敏、虚拟化处理写成真实 IP、主机名、网络拓扑结构均已匿名与替换IP 采用 RFC 5737 文档保留地址192.0.2.0/24主机以 GW-A / GW-B / HOST-X 代称。但完整的因果链、排障思路、根因机制与处置动作均取自真实处置过程技术结论可放心复用。速判版30 秒定性建议先读这段真实处置里从接警到给出到底几台中毒的结论往往只有几分钟。下面这张快速定性卡是本案沉淀出来的照着走就不会被表面现象带偏——也建议你记进自己的研判 SOP。第 1 步看目的端口5 秒全是对外 53DNS、443/80 这类外联没有内网目的 IP 445/135/139/3389 → 不是一台打另一台的横向传播先排除扩散。一旦出现内网端口扫描立刻切到失陷扩散处置见第 3.2 节本文流程不适用。第 2 步看信标时间10 秒多 IP 信标时间高度重叠、甚至你一下我一下交替、节奏一致如都约 5 分钟一轮→ 极可能是同一份样本从多条路径出去不是两台各自发。时间分散、各自独立 → 才考虑多台独立失陷。第 3 步查出口是不是 NAT15 秒这几个告警 IP 是不是有人开过移动热点 / 私接路由器在涉事机上查Internet Connection Sharing (ICS)服务、看有没有Microsoft Hosted Network Virtual Adapter、翻 WLAN-AutoConfig 事件日志找陌生连入记录。是 → 基本锁定信标复制真凶只有一台藏在 NAT 后面。一句话口诀背下来防火墙源 IP记的是包以谁名义出去不是谁中毒。为什么人总在这里误判认知提醒直觉会把多个 IP 告警直接映射成多台失陷但 NAT / 热点会把一台真机的流量以多个网关 IP 名义转发出去。边界设备只能看到出口 IP看不到 NAT 后面的真机——这是网络分层带来的天然盲区不是你漏看了哪条日志。记住这条下次看到多 IP 告警先查出口而不是先隔离机器盲目隔离反而打草惊蛇、漏掉真凶。速查卡你看到的现象先怀疑什么第一时间动作多 IP 同 CC、目的仅 53、时间重叠交替NAT / 热点信标复制查 ICS / 热点出口反推真凶 HOST-X多 IP、目的含 445 / 135 / 139 / 3389 等内网端口横向传播 / 失陷扩散立即隔离源主机、断会话、全网排查单 IP 持续信标单机失陷常规处置 溯源毒源本卡只解决几秒内别误判。完整的研判与处置动作见第 1–5 节。1. 背景与适用条件1.1 背景边界下一代防火墙下文简称 NGFW的僵尸网络日志里同一内网网段两个 IP——GW-A 192.0.2.38、GW-B 192.0.2.67——几乎同时开始向同一个 CC 域名hackerinvasion.f3322.net花生壳f3322.net动态域名国产远控常用发起UDP/53的 DNS 信标动作全为拒绝。一线运维看到这种告警第一反应通常是两种“两台机器都中招了”或者一台在打另一台横向传播。但真实复盘里是一个容易被忽略的第三种可能真正中毒的只有一台主机下文简称 HOST-XGW-A、GW-B 只是 HOST-X 在排障/重装过程中借用的两个移动热点出口。两个 IP 的告警是同一份木马信标被 NAT 复制出来的幽灵并不是两台独立失陷机。1.2 适用条件什么时候该套用这套流程当你遇到以下全部或部分特征时本文的处置流程直接可用NGFW/IDS 上同一网段两个或多个 IP 同时向同一恶意域名/CC 发起信标标签多为远控木马如 farfli、Gh0st、NjRAT 等告警 IP 的信标时间高度重叠、甚至交替出现节奏一致说明是同一份样本全部/绝大多数记录的目的端口是 53DNS没有明显内网横向扫描445/135/139/3389内网存在员工私开移动热点、私接路由器的可能常见于临时共享网络“帮人重装系统”无线绕管控等场景网内做了IP-MAC 静态绑定但只挡伪造、挡不住 NAT 把真机藏到网关后。若出现明确的横向扫描内网目的 IP 445 等端口则不是本文场景请直接按失陷扩散处置见第 3.2 节。2. 真实处置流程分步下面按真实处置的时间顺序把每一步的在哪台设备上、做什么、看什么、得出什么结论直接写出来。过程以鼠标点击的界面操作为主最快定性止血只在少数需要留证、复核的地方顺带给一句命令行不每一步都堆命令。步骤 1接警并导出防火墙全量日志在防火墙平时看告警那台设备上浏览器登录管理页面 → 点「日志」→「威胁日志」→ 筛选威胁类型选僵尸网络、关键字填farfli、时间选告警前后几天源 IP 那一栏空着别只填那两个 IP→ 点「导出」存成 CSV。导出表每行都有源 IP、目的端口、时间、动作扫一眼本案两个 IP 各几十条都是往同一个恶意域名发 UDP/53防火墙动作拒绝没有 445 这类内网端口 → 基本能排除一台在打另一台。步骤 2初步研判——多台中毒还是信标复制在自己电脑上用 Excel或 WPS 表格打开导出的 CSV按源 IP分列、按时间从小到大排看两个 IP 发信标的时间是不是叠在一起、是不是你一下我一下交替。本案两个 IP 时间差一两秒、还交替出现、节奏都是约 5 分钟一轮 → 更像同一台机器的同一次查询从两条路出去不像两台各自发。先别急着认定两台都中毒进入下一步。步骤 3信用源定位——交换机上查这两个 IP 是谁在交换机或它的网管软件上查「ARP 表 / MAC 地址表」分别搜这两个 IP看对应网卡是什么厂牌再查「IP-MAC 绑定」看这网段有没有做绑定。两个 IP 确实是两台真机器网卡厂牌不同、且做了绑定没人能伪造→ 包确实是以这两个 IP 名义出去的。但这只能说明包顶着 A/B 出去不能说明A/B 自己中毒——它俩后面要是还藏了台机器交换机看不见。想用命令行复核交换机上 display arpinclude 192.0.2.38/67、display ip source binding。步骤 4定位 HOST-X —— 从两个干净网关反推真凶前 3 步只证明 GW-A/B 是信标名义上的源、且它们自己没中毒真凶藏在 NAT 后面。这一步用三条路径结合找它路径 A技术取证最硬在 GW-A、GW-B 这两台开过热点的电脑上打开「设置 → 网络和 Internet → 移动热点」看是不是开过进「网络连接」看有没有Microsoft Hosted Network Virtual Adapter有就说明开过热点的。再打开「事件查看器 → 应用程序和服务日志 → Microsoft → Windows → WLAN-AutoConfig → Operational」找某个时间点有陌生电脑名连入热点的记录记下它的 MAC 和时刻。那台连进来的陌生电脑就是 HOST-X连入时刻 ≈ 信标开始时刻 → 基本锁定。命令行复核在这两台机上Get-Service SharedAccess看热点服务是否跑过arp -aSelect-String “192.168.137” 看热点下挂过的设备。路径 B管理线索在工单系统 / 聊天记录里翻处置工单、报告系统、聊天记录看告警时段谁申请过重装系统、借热点拉镜像或直接问帮你重装的人哪台机连了你的热点。HOST-X 往往正是通过这类动作暴露的。路径 C边界侧反推在防火墙上威胁日志把源 IP 清空、标签填 farfli、时间拉到月初按时间从小到大排看最早一条信标来自哪个源 IP。最早发信标的那个 IP 就是 HOST-X 原来的地址再核对它信标停的时刻、是不是正好两个热点 IP 开始发的时刻 → 对上就闭环。坐实在 HOST-X 本机验证核查是否检出远控木马落地文件C:\Windows.old\Users\Administrator\AppData\Local\Temp\R.exe → Backdoor/Farfli.eyWindows.old是重装保留的旧系统目录 →HOST-X 在重装前就已带毒而 GW-A/B 全盘扫描均无 farfli 落地文件、无相关持久化项→ 方向彻底清晰HOST-X 是宿主A/B 只是出口。步骤 5还原因果链在防火墙上用「时间线视图」把 HOST-X原 IP、GW-A、GW-B 三条信标曲线叠一起看同时问当事人几点断的网、几点借的热点。本案真实因果断网前只有 HOST-X 自己连网发信标那时 GW-A/B 没有信标断网后 HOST-X 找人重装连上 GW-B 热点拿到192.168.137.xGW-B 自己上不了网又借 GW-A 热点 → 两级串起来HOST-X ↔ GW-B ↔ GW-AHOST-X 每 5 分钟发一次 DNS 信标经过两级热点出去的 IP 被改写成 GW-B、GW-A防火墙看到的就成了GW-A、GW-B 在发信标且随 HOST-X 重装完10:31同时停止。这一步是定性核心防火墙源 IP记的是包以谁名义出去不是谁中毒。NAT/热点后的真机边界设备根本看不到。步骤 6处置宿主 HOST-X在 HOST-X 本机确认重装镜像干净后用安装 U 盘/PE 重装重装前在文件管理器里手动删掉C:\Windows.old重装后联网在防火墙威胁日志页连续盯至少 30 分钟它 5 分钟发一次连看 6 轮没动静才算初步干净。注意毒不在正版镜像在装系统的 U 盘/PE/激活工具/技术员机——不查毒源重装多少填多少。步骤 7处置热点出口 GW-A / GW-B在 GW-A、GW-B 这两台开热点的电脑上打开「服务」管理器找到Internet Connection Sharing (ICS)“改成禁用”或者让域控统一下发组策略关掉它再跑一次全盘杀软确认两机没有 farfli 残留。它们给已知中毒机开热点出网属违规要问责本身没中毒但提供了不受管控的旁路出口。步骤 8溯源毒源最关键在 HOST-X / 涉事 U 盘·PE / 技术员机 / 杀软控制台问当事人装系统用的什么 U 盘/PE、在哪下的激活工具、技术员机扫过没在杀软控制台看 HOST-X 重装前的全盘扫描报告找病毒最初是从哪个路径落下来的。毒源不锁定事件不能结案否则同类重装会再次带毒。命令行取证在这几台机上reg query HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR查插过的 U 盘痕迹Get-ChildItem C:\Windows.old\Users\*\AppData\Local\Temp -Recurse查残留落地文件。步骤 9查全网规模在防火墙上威胁日志清空源 IP 条件、标签填 farfli、时间拉到月初 → 导出 → 看还有多少台源 IP 在发同样请求。排除是不是还有第二台真中毒机避免漏判。3. 鉴别诊断三种表象相似、根因不同的场景多 IP 同时告警只是表象本文主案例移动热点 NAT 信标复制只是其中一种根因。真正动手处置前必须先定性——下面两种最常被误认成本案务必先区分开。3.1 易混淆情况一私接家用路由器 WAN 口 NAT比热点更隐蔽特征单位侧只看到 1 个 IP路由器 WAN 口下面所有机器拿192.168.x.x私网地址全部隐身。比热点更隐蔽。处置在接入交换机查该端口学到的 MAC 数量——若明显多于 1 个说明下挂了扩展设备收走路由器或要求改 LAN 口接墙、关 DHCP。NAT 后面的主机平时看不见只能断网/收设备后摸到。3.2 易混淆情况二确为横向传播有内网扫描性质完全不同特征告警出现内网目的 IP 445 / 135 / 139 / 3389等端口存在源打目的配对且目的 IP 是内网其他主机。处置不是信标复制也不是两台独立失陷按失陷扩散处理——立即隔离源主机、阻断其所有会话、全网排查被扫主机、查 SMB 暴破 / 漏洞利用痕迹。流程与本文完全两路勿混淆。区分口诀看目的端口。目的只有对外 53 / 443 → 怀疑信标复制本文场景目的含内网 445 / 135 / 139 / 3389 → 直接按横向传播处置。两者处置动作天差地别定性错一步全盘错。3.3 治本网络 终端双管手段作用对热点/路由器的有效性端口安全限制单端口 MAC 数超阈值 err-disable挡私接交换机对热点无效端口只 1 个 MAC802.1X / NAC 准入不合规终端不许入网对热点无效DHCP Snooping 私接检测挡私接路由器乱发地址部分有效同网段端口隔离终端间不能互访只通网关有效切断横向组策略禁 ICS 扫异常 SSID堵热点旁路针对本文场景最有效4. 总结看到多个 IP 同时告警先别断定多台中毒或横向传播。先做步骤 1–2查目的端口是不是只有 53、时间是不是重叠交替——若是极可能是 NAT/热点导致的信标复制。防火墙行为日志比主机文件扫描更早发现失陷且二者测的不是同一件事NGFW 记谁在发恶意请求顶着网关 IP 也能看到真凶流量杀软扫硬盘里有没有文件网关机上必然阴性。阴性不矛盾别互相否定。断网若只拔线/关单机防火墙员工用热点或无线就能绕回生产网。已知中毒机器借同事热点继续外联、尝试回连 C2性质从操作过失上升到规避安全管控。管控要落到终端合规 准入而非只靠物理断口。一根网线、一个热点就能让已知中毒机器绕过边界管控继续外联。技术排障始终要分清包以谁名义出去和谁真正中毒——否则会把干净机器当失陷机处置真正藏在 NAT 后面的宿主反而漏网。5. 后续根除与补充结案前必做前面第 2 节是止血最快定性 处置宿主 关热点第 3 节是按衍生情况拓展。但事件真正闭环在根除毒源和留证复盘——这部分不追求快追求断根 可审计。按下面 5 项补齐才算结得了案。5.1 根除毒源最关键否则重装填多少漏多少锁定 HOST-X 重装前的感染入口装系统 U 盘 / PE、激活工具KMS / 暴破激活类、驱动包或技术员机器本身是否就不干净。正版镜像本身无毒已确认毒在部署链——任何绕过管控的 U 盘 / PE / 激活器都可能是投毒入口。只重装不查毒源同类重装会再次带毒。动作鼠标点击即可完成 取证可视化把涉事 U 盘 / PE 物理封存在杀软控制台对技术员机器发起全盘扫描看报告命令行取证哈希比对镜像/U 盘确认是否被篡改——Get-FileHashC:\镜像\install.iso-Algorithm SHA256# 与官方公布哈希比对Get-ChildItem F:\ -Recurse | Get-FileHash -Algorithm SHA256 | Export-Csv usb_hash.csv 5.2 把 IOC 入库让同类事件自动拦不再靠人肉比对把本次 IOC 写进 NGFW/EDR 的威胁情报与检测规则下次自动拦截并定位源 IPCC 域名hackerinvasion.f3322.net家族标签farfli/Backdoor/Farfli.ey落地特征*\Temp\R.exe结合Windows.old路径效果后续再有同域名 DNS 请求边界直接拒绝并告警到具体源 IP不用再走第 2 节那套人工比对。5.3 终端合规治本专门堵热点 / 路由器旁路组策略统一禁用 ICS域控下发计算机配置 → 管理模板 → 网络 → 网络连接 → 禁止作为 Internet 连接共享并纳入终端基线核查单台可用sc config SharedAccess start disabled。无线侧巡检把异常 SSID 扫描放进日常巡检——移动热点默认 SSID 即计算机名特征极明显一眼可辨。接入侧加固交换机开端口安全限制单端口 MAC 数超阈值 err-disable 私接路由器检测缩小旁路空间。5.4 工单闭环与留证审计用缺一不可一份事件工单里分清三方结论别混在一起对象结论处置HOST-X真凶重装前已带毒已重装 清Windows.old 盯日志 30 分钟GW-A / GW-B违规开热点、未中毒已禁 ICS 全盘阴性 同步问责毒源待锁定 / 已锁定封存 U 盘/PE、技术员机扫描归档证据清单下次复盘 / 审计直接调防火墙威胁日志导出farfli 全量 CSV交换机 ARP / MAC 表、ip source binding截图热点机 WiFi 连接历史WLAN-AutoConfig 事件杀软全盘扫描报告HOST-X 检出 GW-A/B 阴性HOST-X 样本检出截图R.exe → Backdoor/Farfli.ey5.5 沉淀进研判手册避免下次又误判两台失陷把这条写进处置 SOP同网段多 IP 同时向同一 CC 发起信标、目的端口仅 53、时间高度重叠交替 → 先怀疑 NAT/热点信标复制而非两台独立失陷或横向传播。一句话心法建议贴在研判台防火墙源 IP记的是包以谁名义出去不是谁中毒看到多 IP 告警先查出口是不是热点 / 路由器 NAT再谈几台中招。补一句本文第 2 节用鼠标点击就能完成快速定性但取证留证5.4和毒源根除5.1必须做否则事件只能算临时压下去不能算结结案。一句话总结防火墙的源 IP记的是包以谁名义出去不是谁中毒——看到同网段多 IP 同时告警先怀疑 NAT / 热点信标复制再谈几台中招。想听听你们的实战处置防火墙告警时你们有没有遇到过多个 IP 同时告警、第一反应以为是两台都中毒的情况最后定位出来是 NAT 复制、还是真的横向传播、或者是别的原因评论区聊聊你们的处置思路——如果误判类型收集得够多我专门整理一篇防火墙多 IP 告警误判清单发出来把大家踩过的坑汇总一下。标签#网络安全 #防火墙处置 #远控木马 #NAT #等保测评 #护网 #安全运维复盘全文完 
长河君 · 2026/11/6 1:47:39 · 阅读 1.2k 防火墙多IP同时告警≠多台中毒：一次移动热点NAT导致的误判排查复盘
防火墙两个IP同时告警远控木马真的是两台中招吗——一次移动热点NAT引发的幽灵双IP处置复盘适合读者网络安全运维、等保/护网一线处置人员关键词farfli、移动热点、ICS、NAT、僵尸网络信标、IP-MAC绑定、溯源0. 写在前面脱敏说明本文根据一次真实发生的内网安全事件脱敏、虚拟化处理写成真实 IP、主机名、网络拓扑结构均已匿名与替换IP 采用 RFC 5737 文档保留地址192.0.2.0/24主机以 GW-A / GW-B / HOST-X 代称。但完整的因果链、排障思路、根因机制与处置动作均取自真实处置过程技术结论可放心复用。速判版30 秒定性建议先读这段真实处置里从接警到给出到底几台中毒的结论往往只有几分钟。下面这张快速定性卡是本案沉淀出来的照着走就不会被表面现象带偏——也建议你记进自己的研判 SOP。第 1 步看目的端口5 秒全是对外 53DNS、443/80 这类外联没有内网目的 IP 445/135/139/3389 → 不是一台打另一台的横向传播先排除扩散。一旦出现内网端口扫描立刻切到失陷扩散处置见第 3.2 节本文流程不适用。第 2 步看信标时间10 秒多 IP 信标时间高度重叠、甚至你一下我一下交替、节奏一致如都约 5 分钟一轮→ 极可能是同一份样本从多条路径出去不是两台各自发。时间分散、各自独立 → 才考虑多台独立失陷。第 3 步查出口是不是 NAT15 秒这几个告警 IP 是不是有人开过移动热点 / 私接路由器在涉事机上查Internet Connection Sharing (ICS)服务、看有没有Microsoft Hosted Network Virtual Adapter、翻 WLAN-AutoConfig 事件日志找陌生连入记录。是 → 基本锁定信标复制真凶只有一台藏在 NAT 后面。一句话口诀背下来防火墙源 IP记的是包以谁名义出去不是谁中毒。为什么人总在这里误判认知提醒直觉会把多个 IP 告警直接映射成多台失陷但 NAT / 热点会把一台真机的流量以多个网关 IP 名义转发出去。边界设备只能看到出口 IP看不到 NAT 后面的真机——这是网络分层带来的天然盲区不是你漏看了哪条日志。记住这条下次看到多 IP 告警先查出口而不是先隔离机器盲目隔离反而打草惊蛇、漏掉真凶。速查卡你看到的现象先怀疑什么第一时间动作多 IP 同 CC、目的仅 53、时间重叠交替NAT / 热点信标复制查 ICS / 热点出口反推真凶 HOST-X多 IP、目的含 445 / 135 / 139 / 3389 等内网端口横向传播 / 失陷扩散立即隔离源主机、断会话、全网排查单 IP 持续信标单机失陷常规处置 溯源毒源本卡只解决几秒内别误判。完整的研判与处置动作见第 1–5 节。1. 背景与适用条件1.1 背景边界下一代防火墙下文简称 NGFW的僵尸网络日志里同一内网网段两个 IP——GW-A 192.0.2.38、GW-B 192.0.2.67——几乎同时开始向同一个 CC 域名hackerinvasion.f3322.net花生壳f3322.net动态域名国产远控常用发起UDP/53的 DNS 信标动作全为拒绝。一线运维看到这种告警第一反应通常是两种“两台机器都中招了”或者一台在打另一台横向传播。但真实复盘里是一个容易被忽略的第三种可能真正中毒的只有一台主机下文简称 HOST-XGW-A、GW-B 只是 HOST-X 在排障/重装过程中借用的两个移动热点出口。两个 IP 的告警是同一份木马信标被 NAT 复制出来的幽灵并不是两台独立失陷机。1.2 适用条件什么时候该套用这套流程当你遇到以下全部或部分特征时本文的处置流程直接可用NGFW/IDS 上同一网段两个或多个 IP 同时向同一恶意域名/CC 发起信标标签多为远控木马如 farfli、Gh0st、NjRAT 等告警 IP 的信标时间高度重叠、甚至交替出现节奏一致说明是同一份样本全部/绝大多数记录的目的端口是 53DNS没有明显内网横向扫描445/135/139/3389内网存在员工私开移动热点、私接路由器的可能常见于临时共享网络“帮人重装系统”无线绕管控等场景网内做了IP-MAC 静态绑定但只挡伪造、挡不住 NAT 把真机藏到网关后。若出现明确的横向扫描内网目的 IP 445 等端口则不是本文场景请直接按失陷扩散处置见第 3.2 节。2. 真实处置流程分步下面按真实处置的时间顺序把每一步的在哪台设备上、做什么、看什么、得出什么结论直接写出来。过程以鼠标点击的界面操作为主最快定性止血只在少数需要留证、复核的地方顺带给一句命令行不每一步都堆命令。步骤 1接警并导出防火墙全量日志在防火墙平时看告警那台设备上浏览器登录管理页面 → 点「日志」→「威胁日志」→ 筛选威胁类型选僵尸网络、关键字填farfli、时间选告警前后几天源 IP 那一栏空着别只填那两个 IP→ 点「导出」存成 CSV。导出表每行都有源 IP、目的端口、时间、动作扫一眼本案两个 IP 各几十条都是往同一个恶意域名发 UDP/53防火墙动作拒绝没有 445 这类内网端口 → 基本能排除一台在打另一台。步骤 2初步研判——多台中毒还是信标复制在自己电脑上用 Excel或 WPS 表格打开导出的 CSV按源 IP分列、按时间从小到大排看两个 IP 发信标的时间是不是叠在一起、是不是你一下我一下交替。本案两个 IP 时间差一两秒、还交替出现、节奏都是约 5 分钟一轮 → 更像同一台机器的同一次查询从两条路出去不像两台各自发。先别急着认定两台都中毒进入下一步。步骤 3信用源定位——交换机上查这两个 IP 是谁在交换机或它的网管软件上查「ARP 表 / MAC 地址表」分别搜这两个 IP看对应网卡是什么厂牌再查「IP-MAC 绑定」看这网段有没有做绑定。两个 IP 确实是两台真机器网卡厂牌不同、且做了绑定没人能伪造→ 包确实是以这两个 IP 名义出去的。但这只能说明包顶着 A/B 出去不能说明A/B 自己中毒——它俩后面要是还藏了台机器交换机看不见。想用命令行复核交换机上 display arpinclude 192.0.2.38/67、display ip source binding。步骤 4定位 HOST-X —— 从两个干净网关反推真凶前 3 步只证明 GW-A/B 是信标名义上的源、且它们自己没中毒真凶藏在 NAT 后面。这一步用三条路径结合找它路径 A技术取证最硬在 GW-A、GW-B 这两台开过热点的电脑上打开「设置 → 网络和 Internet → 移动热点」看是不是开过进「网络连接」看有没有Microsoft Hosted Network Virtual Adapter有就说明开过热点的。再打开「事件查看器 → 应用程序和服务日志 → Microsoft → Windows → WLAN-AutoConfig → Operational」找某个时间点有陌生电脑名连入热点的记录记下它的 MAC 和时刻。那台连进来的陌生电脑就是 HOST-X连入时刻 ≈ 信标开始时刻 → 基本锁定。命令行复核在这两台机上Get-Service SharedAccess看热点服务是否跑过arp -aSelect-String “192.168.137” 看热点下挂过的设备。路径 B管理线索在工单系统 / 聊天记录里翻处置工单、报告系统、聊天记录看告警时段谁申请过重装系统、借热点拉镜像或直接问帮你重装的人哪台机连了你的热点。HOST-X 往往正是通过这类动作暴露的。路径 C边界侧反推在防火墙上威胁日志把源 IP 清空、标签填 farfli、时间拉到月初按时间从小到大排看最早一条信标来自哪个源 IP。最早发信标的那个 IP 就是 HOST-X 原来的地址再核对它信标停的时刻、是不是正好两个热点 IP 开始发的时刻 → 对上就闭环。坐实在 HOST-X 本机验证核查是否检出远控木马落地文件C:\Windows.old\Users\Administrator\AppData\Local\Temp\R.exe → Backdoor/Farfli.eyWindows.old是重装保留的旧系统目录 →HOST-X 在重装前就已带毒而 GW-A/B 全盘扫描均无 farfli 落地文件、无相关持久化项→ 方向彻底清晰HOST-X 是宿主A/B 只是出口。步骤 5还原因果链在防火墙上用「时间线视图」把 HOST-X原 IP、GW-A、GW-B 三条信标曲线叠一起看同时问当事人几点断的网、几点借的热点。本案真实因果断网前只有 HOST-X 自己连网发信标那时 GW-A/B 没有信标断网后 HOST-X 找人重装连上 GW-B 热点拿到192.168.137.xGW-B 自己上不了网又借 GW-A 热点 → 两级串起来HOST-X ↔ GW-B ↔ GW-AHOST-X 每 5 分钟发一次 DNS 信标经过两级热点出去的 IP 被改写成 GW-B、GW-A防火墙看到的就成了GW-A、GW-B 在发信标且随 HOST-X 重装完10:31同时停止。这一步是定性核心防火墙源 IP记的是包以谁名义出去不是谁中毒。NAT/热点后的真机边界设备根本看不到。步骤 6处置宿主 HOST-X在 HOST-X 本机确认重装镜像干净后用安装 U 盘/PE 重装重装前在文件管理器里手动删掉C:\Windows.old重装后联网在防火墙威胁日志页连续盯至少 30 分钟它 5 分钟发一次连看 6 轮没动静才算初步干净。注意毒不在正版镜像在装系统的 U 盘/PE/激活工具/技术员机——不查毒源重装多少填多少。步骤 7处置热点出口 GW-A / GW-B在 GW-A、GW-B 这两台开热点的电脑上打开「服务」管理器找到Internet Connection Sharing (ICS)“改成禁用”或者让域控统一下发组策略关掉它再跑一次全盘杀软确认两机没有 farfli 残留。它们给已知中毒机开热点出网属违规要问责本身没中毒但提供了不受管控的旁路出口。步骤 8溯源毒源最关键在 HOST-X / 涉事 U 盘·PE / 技术员机 / 杀软控制台问当事人装系统用的什么 U 盘/PE、在哪下的激活工具、技术员机扫过没在杀软控制台看 HOST-X 重装前的全盘扫描报告找病毒最初是从哪个路径落下来的。毒源不锁定事件不能结案否则同类重装会再次带毒。命令行取证在这几台机上reg query HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR查插过的 U 盘痕迹Get-ChildItem C:\Windows.old\Users\*\AppData\Local\Temp -Recurse查残留落地文件。步骤 9查全网规模在防火墙上威胁日志清空源 IP 条件、标签填 farfli、时间拉到月初 → 导出 → 看还有多少台源 IP 在发同样请求。排除是不是还有第二台真中毒机避免漏判。3. 鉴别诊断三种表象相似、根因不同的场景多 IP 同时告警只是表象本文主案例移动热点 NAT 信标复制只是其中一种根因。真正动手处置前必须先定性——下面两种最常被误认成本案务必先区分开。3.1 易混淆情况一私接家用路由器 WAN 口 NAT比热点更隐蔽特征单位侧只看到 1 个 IP路由器 WAN 口下面所有机器拿192.168.x.x私网地址全部隐身。比热点更隐蔽。处置在接入交换机查该端口学到的 MAC 数量——若明显多于 1 个说明下挂了扩展设备收走路由器或要求改 LAN 口接墙、关 DHCP。NAT 后面的主机平时看不见只能断网/收设备后摸到。3.2 易混淆情况二确为横向传播有内网扫描性质完全不同特征告警出现内网目的 IP 445 / 135 / 139 / 3389等端口存在源打目的配对且目的 IP 是内网其他主机。处置不是信标复制也不是两台独立失陷按失陷扩散处理——立即隔离源主机、阻断其所有会话、全网排查被扫主机、查 SMB 暴破 / 漏洞利用痕迹。流程与本文完全两路勿混淆。区分口诀看目的端口。目的只有对外 53 / 443 → 怀疑信标复制本文场景目的含内网 445 / 135 / 139 / 3389 → 直接按横向传播处置。两者处置动作天差地别定性错一步全盘错。3.3 治本网络 终端双管手段作用对热点/路由器的有效性端口安全限制单端口 MAC 数超阈值 err-disable挡私接交换机对热点无效端口只 1 个 MAC802.1X / NAC 准入不合规终端不许入网对热点无效DHCP Snooping 私接检测挡私接路由器乱发地址部分有效同网段端口隔离终端间不能互访只通网关有效切断横向组策略禁 ICS 扫异常 SSID堵热点旁路针对本文场景最有效4. 总结看到多个 IP 同时告警先别断定多台中毒或横向传播。先做步骤 1–2查目的端口是不是只有 53、时间是不是重叠交替——若是极可能是 NAT/热点导致的信标复制。防火墙行为日志比主机文件扫描更早发现失陷且二者测的不是同一件事NGFW 记谁在发恶意请求顶着网关 IP 也能看到真凶流量杀软扫硬盘里有没有文件网关机上必然阴性。阴性不矛盾别互相否定。断网若只拔线/关单机防火墙员工用热点或无线就能绕回生产网。已知中毒机器借同事热点继续外联、尝试回连 C2性质从操作过失上升到规避安全管控。管控要落到终端合规 准入而非只靠物理断口。一根网线、一个热点就能让已知中毒机器绕过边界管控继续外联。技术排障始终要分清包以谁名义出去和谁真正中毒——否则会把干净机器当失陷机处置真正藏在 NAT 后面的宿主反而漏网。5. 后续根除与补充结案前必做前面第 2 节是止血最快定性 处置宿主 关热点第 3 节是按衍生情况拓展。但事件真正闭环在根除毒源和留证复盘——这部分不追求快追求断根 可审计。按下面 5 项补齐才算结得了案。5.1 根除毒源最关键否则重装填多少漏多少锁定 HOST-X 重装前的感染入口装系统 U 盘 / PE、激活工具KMS / 暴破激活类、驱动包或技术员机器本身是否就不干净。正版镜像本身无毒已确认毒在部署链——任何绕过管控的 U 盘 / PE / 激活器都可能是投毒入口。只重装不查毒源同类重装会再次带毒。动作鼠标点击即可完成 取证可视化把涉事 U 盘 / PE 物理封存在杀软控制台对技术员机器发起全盘扫描看报告命令行取证哈希比对镜像/U 盘确认是否被篡改——Get-FileHashC:\镜像\install.iso-Algorithm SHA256# 与官方公布哈希比对Get-ChildItem F:\ -Recurse | Get-FileHash -Algorithm SHA256 | Export-Csv usb_hash.csv 5.2 把 IOC 入库让同类事件自动拦不再靠人肉比对把本次 IOC 写进 NGFW/EDR 的威胁情报与检测规则下次自动拦截并定位源 IPCC 域名hackerinvasion.f3322.net家族标签farfli/Backdoor/Farfli.ey落地特征*\Temp\R.exe结合Windows.old路径效果后续再有同域名 DNS 请求边界直接拒绝并告警到具体源 IP不用再走第 2 节那套人工比对。5.3 终端合规治本专门堵热点 / 路由器旁路组策略统一禁用 ICS域控下发计算机配置 → 管理模板 → 网络 → 网络连接 → 禁止作为 Internet 连接共享并纳入终端基线核查单台可用sc config SharedAccess start disabled。无线侧巡检把异常 SSID 扫描放进日常巡检——移动热点默认 SSID 即计算机名特征极明显一眼可辨。接入侧加固交换机开端口安全限制单端口 MAC 数超阈值 err-disable 私接路由器检测缩小旁路空间。5.4 工单闭环与留证审计用缺一不可一份事件工单里分清三方结论别混在一起对象结论处置HOST-X真凶重装前已带毒已重装 清Windows.old 盯日志 30 分钟GW-A / GW-B违规开热点、未中毒已禁 ICS 全盘阴性 同步问责毒源待锁定 / 已锁定封存 U 盘/PE、技术员机扫描归档证据清单下次复盘 / 审计直接调防火墙威胁日志导出farfli 全量 CSV交换机 ARP / MAC 表、ip source binding截图热点机 WiFi 连接历史WLAN-AutoConfig 事件杀软全盘扫描报告HOST-X 检出 GW-A/B 阴性HOST-X 样本检出截图R.exe → Backdoor/Farfli.ey5.5 沉淀进研判手册避免下次又误判两台失陷把这条写进处置 SOP同网段多 IP 同时向同一 CC 发起信标、目的端口仅 53、时间高度重叠交替 → 先怀疑 NAT/热点信标复制而非两台独立失陷或横向传播。一句话心法建议贴在研判台防火墙源 IP记的是包以谁名义出去不是谁中毒看到多 IP 告警先查出口是不是热点 / 路由器 NAT再谈几台中招。补一句本文第 2 节用鼠标点击就能完成快速定性但取证留证5.4和毒源根除5.1必须做否则事件只能算临时压下去不能算结结案。一句话总结防火墙的源 IP记的是包以谁名义出去不是谁中毒——看到同网段多 IP 同时告警先怀疑 NAT / 热点信标复制再谈几台中招。想听听你们的实战处置防火墙告警时你们有没有遇到过多个 IP 同时告警、第一反应以为是两台都中毒的情况最后定位出来是 NAT 复制、还是真的横向传播、或者是别的原因评论区聊聊你们的处置思路——如果误判类型收集得够多我专门整理一篇防火墙多 IP 告警误判清单发出来把大家踩过的坑汇总一下。标签#网络安全 #防火墙处置 #远控木马 #NAT #等保测评 #护网 #安全运维复盘全文完