渗透 提权 拖库 脚本

仓库仅包含一个名为readme.txt 的文件，它是一个经过 base64 编码的 .NET 下载器可执行文件。GitHub 项目模块的作用是下载此文件、解码并执行它。

后门——文件窃取程序
虽然功能上略有差异，但这些模块的主要目的是枚举受感染系统上的所有文档，并将它们上传到C&C服务器。这些文件窃取工具还可以从C&C服务器下载并执行任意代码。与Gamaredon组织使用的许多其他工具一样，它们提供四种不同的编程语言版本：C/C++、C#、批处理文件和VBScript。

C/C++
此版本是此处所述 USBStealer 模块的后续版本。尽管最新版本已大相径庭，但通过分析该模块整个开发过程中的样本，可以清楚地看出它们源自相同的源代码。

一个很好的例子是内部名为Harvesterx64.dll的 64 位 DLL 文件，编译于 2019 年 6 月。它仍然保留了旧版本中使用的大部分字符串，但也展现了两个在新版本中仍然保留的改进。首先，它现在通过名称哈希来解析 Windows API；其次，它使用一个基本的文本文件而不是 SQLite 数据库来跟踪哪些文件已经上传到 C&C 服务器。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

批处理文件/VBScript
该模块的 VBScript 版本行为与 .NET 版本类似。主要区别在于，它不是将恶意宏插入现有文档，而是将对远程模板的引用插入其中。

使用 Document.AttachedTemplate 属性的 VBScript 将对远程模板的引用注入到现有文档中

该 VBScript 模块还打包在一个自解压归档文件中，其中包含一个批处理文件和两个 VBS 文件，负责遍历文档并将远程模板引用添加到其中。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

OAuth 授权同意钓鱼
另一种现代网络钓鱼技术是 OAuth 授权钓鱼，攻击者利用开放授权 (OAuth) 协议，发送包含恶意授权链接的电子邮件，诱导用户访问第三方应用程序。一旦目标用户点击链接并授权该应用程序，攻击者就能获得所需权限范围的访问令牌和刷新令牌，从而持续访问被盗用的帐户。在微软最近发现的一个 OAuth 授权钓鱼活动中，即使用户拒绝了应用程序的权限请求（点击提示中的“取消”），用户仍然会被重定向到应用程序的回复 URL，然后从那里被重定向到一个 AiTM 域，进行第二次钓鱼攻击。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限： https://t.me/changwaiguang

设备代码钓鱼
设备代码钓鱼是一种相对较新的技术，已被多个威胁行为者应用于其攻击中。在设备代码钓鱼中，像 Storm-2372 这样的威胁行为者会利用设备代码认证流程来捕获认证令牌，然后使用这些令牌访问目标帐户。Storm-1249 是一个总部位于中国的间谍组织，它通常使用通用的钓鱼诱饵——例如税务、公务员甚至图书预购等主题——来攻击目标机构的高级官员。微软也观察到设备代码钓鱼被用于入侵后的后续活动，这将在后续章节中进行更详细的讨论。

在微软，我们强烈建议各组织尽可能阻止设备代码流；如果需要，请在条件访问策略中配置 Microsoft Entra ID 的设备代码流。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限： https://t.me/changwaiguang

窃取身份信息的预先手段
现代网络钓鱼技术试图绕过身份验证流程。
中间人攻击（AiTM）
如今的身份验证方法改变了网络钓鱼的格局。最普遍的例子是，随着多因素身份验证 (MFA) 的普及，中间人攻击 (AiTM) 凭证钓鱼的案件也随之增加。网络钓鱼即服务 (PhaaS) 平台提供的钓鱼工具包进一步加剧了 AiTM 威胁的影响；例如，Evilginx 钓鱼工具包在过去一年中被多个威胁行为者使用，从臭名昭著的网络钓鱼组织 Storm-0485 到俄罗斯间谍组织 Star Blizzard 均有涉案。

Evilginx 是一个开源框架，它通过在目标用户和用户想要访问的网站（攻击者会冒充该网站）之间部署代理服务器来提供攻击集成管理 (AiTM) 功能。微软追踪到 Storm-0485 攻击利用诸如汇款、共享文档和虚假 LinkedIn 帐户验证等诱饵，将目标用户引导至 Evilginx 基础设施，所有这些诱饵都旨在促使收件人快速响应。Storm-0485 还持续使用规避策略，特别是通过混淆的 Google 加速移动页面 (AMP) URL 传递初始链接，以使链接更难被识别为恶意链接。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限： https://t.me/changwaiguang

安全空间从底层构建数据保护机制。采用文件过滤驱动全程监控文件的读写操作，仅允许合法进程访问。涉及宿主机文件时，访问请求会被引流至虚拟副本，避免对真实文件产生影响。与此同时，vdisk虚拟磁盘为安全空间提供专属“保险箱”，所有数据均写入其中并经强加密算法加固保护。未挂载时，该磁盘在主机上仅表现为不可直接访问的加密文件，有效杜绝数据泄露。再结合注册表、管道等多层隔离，确保数据始终牢牢锁定在安全边界内。

● 网络与服务隔离

安全空间利用WFP在内核层精确拦截和过滤每一个数据包，灵活实现放行、拦截或隧道传输，做到按需精准管控。对内部应用，规则更为严格，禁止其越界访问外网。与此同时，系统服务被虚拟化，空间应用调用的并非真实宿主机服务，而是“克隆”的虚拟实例，即使恶意程序也无法借机攻击主机。网络与服务双重隔离，使安全空间既能安全联网，又能有效守护系统核心。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

安全空间是在终端设备上创建的隔离环境，在这个环境中运行的程序和数据均与主机相互独立、互不干扰。用户在空间内运行应用或浏览网页，不会影响主机的系统与数据。

在这一环境中，与主机实现逻辑隔离，所有操作均受严格管控。空间内提供访问控制、文件隔离、网络隔离、剪贴板与外设管控、程序与文件外发管理、水印防护等全方位安全能力。

这种方式确保即使终端遭受攻击，威胁也难以突破安全空间进入关键业务网络，从而成为抵御未知威胁的最后一道防线。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

在云计算与移动办公时代，企业内外网边界逐渐消失，终端既承担办公业务又频繁接触互联网，安全风险显著提升。企业缺乏有效的终端管理，数据未区分业务与互联网资源，导致数据保护效果不佳。传统安全产品多聚焦内网，忽视互联网威胁，木马与病毒容易扩散并引发数据泄露；或一刀切的采用文件加密与网络隔离影响员工体验和办公效率。

当前企业数据安全的核心挑战在于：终端风险高、外部入侵频繁、数据泄露严重、效率受限。这表明，仅靠传统防病毒软件和数据防泄漏等技术已经难以全面防护终端层面的数据安全。由此，安全工作空间应运而生，为数据安全提供了新的思路。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

在攻防演练准备中，扫描目标资产时最头疼的问题是什么？

是大量的访问导致使用的ip被封！手动更换IP不仅耗时费力，还可能导致任务中断、得分下降。

给大家推荐一款轻松简单，小白也能上手搭建的代理池——fir-proxy。这款开源高可用代理池能在多个IP中智能自动轮换新IP，大幅降低手动操作时间，让你专注于攻击策略，提升演练得分效率。(该项目一个星期的时间就已经有三位数的star，可见质量之高。)
文件下载后，项目需由python编写，按照requirements所需的环境安装，完成并运行main.py就能进入到如图所示界面，功能一目了然，下面就对项目的优点做个简单介绍。



代理获取途径多样化：支持获取在线代理，也可以自己导入代理（上图中的可用代理文件夹里面有作者自己私藏的ip而且还会更新）。什么你说这都满足不了你？作者还自己写了个爬取的脚本，可以自己去爬取。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

防火墙策略：在网络边界防火墙或主机防火墙上，阻止所有对外访问 xmr.crypto-pool.fr 及其IP地址的流量。

DNS过滤： 在内部DNS服务器上，将 xmr.crypto-pool.fr 解析到本地回环地址 127.0.0.1 或黑洞地址，以阻断其通信。

全网扫描与监控
全网扫描：使用终端安全防护软件或EDR工具，对全网所有Linux主机进行深度扫描，查找是否存在相同或相似的恶意文件。

日志审计：检查系统日志（/var/log/messages, /var/log/secure）和安全事件日志，追溯该样本的初始入侵途径。

行为监控：部署网络流量分析（NTA）或EDR系统，持续监控是否有异常进程、可疑的网络连接或权限提升行为。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

智能轮换与筛选功能。它支持按区域、质量自动筛选代理。还有两种更换IP方式：设定时间间隔轮换IP和智能轮换IP两种。前者是设置秒数后到时间后更换，后者是根据关键词判断是否更换ip，无缝衔接，省去手动查找和配置的麻烦。结合其高质量验证机制（通过延迟、速度和国际连通性测试），确保每个代理都真实可用，避免因无效IP导致的二次封禁风险。

在检验代理是否可用时可以取消验证防止卡死；全部测试就是将已经在代理列表中的IP进行再次检验；还可以导出可用代理；在设置中设置验证线程数，失败代理清理设置以及自动重测设置。

这一切都通过直观的图形化界面实现，基于ttkbootstrap设计，操作简单直观。动手能力强的朋友可以自己去探索，魔改一下源码。该项目还在持续优化当中，未来可期

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

1. 立即隔离与清除
断网隔离：立即将受感染主机从网络中物理隔离，切断其与矿池 xmr.crypto-pool.fr 的通信。

终止进程：使用 ps aux | grep work32 或 top 命令找到样本进程，然后使用 kill -9 <PID> 强制终止。

删除文件：手动删除样本文件 /usr/work/7f28b2791ad94a202eea5e4c91d47cdeadca4723723427af574519f8aedbf15e。

清理计划任务：编辑 /etc/crontab 文件，删除其中包含该样本路径的行。

2. 清理残留与加固
检查其他目录：在 /tmp、/var/tmp、/dev/shm 等临时目录中查找是否有其他可疑文件。

更新系统：确保系统和所有软件包都已更新至最新版本，修复已知漏洞。

加强SSH安全： 禁用密码登录，强制使用密钥认证；修改默认SSH端口；设置强密码策略。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

可疑行为与信息搜集
数据压缩：样本使用 UPX 工具进行了加壳压缩，这是一种常见的规避安全软件检测的技术。

信息搜集：读取网络配置和用户数据，用于生成唯一的主机标识符或进行环境判断。

威胁评估
综合以上分析，该样本是一个具备强大持久化能力和隐蔽性的 SusMiner 家族挖矿木马。

目的：一旦成功入侵，它会利用受感染主机的CPU资源进行门罗币（XMR）挖矿，导致服务器负载过高、性能下降、电费激增，并可能成为攻击者进一步渗透内网的跳板。

危害等级：高危。它不仅消耗系统资源，还可能下载其他恶意软件，对主机安全构成持续性威胁。

传播方式：可能通过SSH爆破、Web应用漏洞（如未修复的RCE）、或供应链攻击等方式进入企业内网。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

威胁情报关联
样本的行为与已知的威胁情报（IOC）高度匹配：

关联域名： xmr.crypto-pool.fr

情报判定：“恶意”

情报内容：“可疑”、“公共矿池”

这表明该样本试图连接到一个名为 xmr.crypto-pool.fr 的公共门罗币（XMR）矿池。这是挖矿木马的核心功能，用于将受感染主机的算力贡献给攻击者的钱包地址。

3. 系统敏感操作
样本执行了多项敏感的系统级操作，旨在隐藏自身并获取系统控制权：

修改文件权限：修改自身或相关文件的权限，可能为了防止被删除或便于执行。

重定向输出：将标准输出和错误输出重定向到 /dev/null，以此隐藏其运行时产生的日志和错误信息，避免引起管理员注意。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

行为分析
根据微步在线沙箱的详细行为记录，该样本的主要活动如下：

1. 高危持久化行为
沙箱检测到一个高危行为：写入 crontab 条目。

操作内容：样本通过系统调用 write 向 /etc/crontab 文件写入了一条定时任务。

具体条目：

0 root /usr/work/7f28b2791ad94a202eea5e4c91d47cdeadca4723723427af574519f8aedbf15e
目的：这是典型的持久化技术。该条目会指示系统在每小时的第0分钟以 root 用户身份执行该样本，确保即使系统重启或进程被杀死，木马也能自动重新运行，从而实现长期驻留。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

利用合法公司资源精心设计的AiTM网络钓鱼攻击
Storm-0539 是一个持续针对零售业进行礼品卡欺诈的威胁组织。该组织利用其最初获取的被盗身份信息，获取合法的电子邮件（例如服务台工单），并将其作为钓鱼邮件的模板。精心制作的邮件包含指向 AiTM 钓鱼页面的链接，这些页面模仿了被盗组织的联合身份服务提供商。由于这些邮件与组织的合法邮件非常相似，指向的 AiTM 钓鱼页面也极具迷惑性，并且是从内部账户发送的，因此它们可能极具欺骗性。Storm-0539 正是利用这种方式横向移动，寻找能够访问关键云资源的身份。

组织内部设备代码网络钓鱼
除了利用设备代码钓鱼进行初始访问外，Storm-2372 还将其用于横向移动操作。攻击者使用被盗账户发送主题为“待审核文档”等的内部电子邮件，邮件中包含设备代码认证钓鱼载荷。由于设备代码认证的工作原理，这些载荷的有效期仅为 15 分钟，因此，攻击者在入侵后会发起多波钓鱼攻击，以寻找更多凭据。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

身份泄露后的攻击
除了使用网络钓鱼技术获取初始访问权限外，在某些情况下，威胁行为者还会利用从第一阶段网络钓鱼攻击中获取的身份信息发起后续的网络钓鱼攻击。这些后续的网络钓鱼活动使威胁行为者能够在组织内部横向移动，在多个身份之间保持持久性，并有可能获取更高权限的帐户或第三方组织的访问权限。

您可以通过配置 Microsoft Defender for Office 365安全链接策略以应用于内部收件人，以及教育用户警惕未经请求的文档并报告可疑的网络钓鱼消息，来加强您的环境免受内部网络钓鱼活动的侵害。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

利用社交媒体
除了企业管理的应用程序之外，员工在社交媒体网站和第三方通信平台上的活动也扩大了网络钓鱼攻击的数字足迹。例如，伊朗威胁组织 Mint Sandstorm 主要使用鱼叉式网络钓鱼电子邮件，但他们也会向包括 Facebook 和 LinkedIn 在内的社交媒体网站上的目标发送钓鱼链接，以攻击政府和政界的知名人士。与许多威胁组织一样，Mint Sandstorm 也会通过收集目标在社交媒体平台上的公开信息（例如个人电子邮件地址和联系人）来定制和增强其钓鱼信息。全球安全访问 (GSA)是一种可以减少此类网络钓鱼活动并管理公司自有设备上社交媒体网站访问权限的解决方案。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

团队钓鱼
微软威胁情报团队一直在密切追踪并应对利用 Microsoft Teams 平台进行网络钓鱼攻击的行为，并已对已确认的恶意租户采取行动，阻止其发送消息。例如，网络犯罪访问代理 Storm-1674 会创建虚假租户，创建 Teams 会议，并利用会议的聊天功能向潜在受害者发送消息；最近，自 2024 年 11 月起，该威胁行为者开始入侵租户，并通过 Teams 直接呼叫用户，以窃取其凭据。企业可以遵循我们针对 Microsoft Teams 的安全最佳实践，进一步防御来自外部租户的攻击。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

人工智能有助于消除常见的语法错误和生硬的措辞，这些错误和措辞曾经使网络钓鱼更容易被识别。因此，如今的网络钓鱼诱饵更加精巧，用户更难识别，从而增加了被骗成功的可能性。这种演变凸显了除了用户安全意识培训之外，保护身份信息的重要性。

网络钓鱼的风险正不断扩大，不再局限于电子邮件。
为了支持分布式办公和业务运营，企业通信方式日趋多样化，因此网络钓鱼的攻击范围也远远超出了电子邮件。微软发现，许多攻击者滥用企业通信应用程序来传播钓鱼信息，同时我们也注意到，攻击者持续关注并试图利用非企业应用程序和社交媒体网站来攻击目标。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

您可以通过配置应用授权策略来限制用户授权操作，从而阻止员工授权未经组织批准的特定应用或应用类别 。例如，您可以配置策略，仅允许用户授权给已验证发布商请求低风险权限的应用，或授权给已在您的租户中注册的应用。

设备加入网络钓鱼
最后，值得一提的是近期出现的设备加入网络钓鱼攻击。攻击者利用钓鱼链接诱骗目标用户授权加入其控制的设备。自 2025 年 4 月以来，微软观察到疑似与俄罗斯有关联的攻击者利用第三方应用程序消息或电子邮件，以即将召开的会议邀请为幌子，散布包含有效授权码的恶意链接。点击该链接后，攻击者会返回一个设备注册服务令牌，从而允许其设备注册到租户。您可以通过在环境中要求设备注册时使用高强度身份验证来加强对这类网络钓鱼攻击的防御。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

诱饵仍然是有效的网络钓鱼武器。
尽管终端用户和自动化安全措施在识别恶意网络钓鱼附件和链接方面都取得了长足进步，但有动机的威胁行为者仍然依赖于利用人类行为的诱饵来实施攻击。由于这些攻击的关键在于欺骗用户，因此对用户进行培训并提高其对常见社会工程技术的认识是防御此类攻击的关键。

冒充诱饵
微软观察到，威胁行为者最有效的诱饵手段之一是冒充目标熟悉的人，或利用恶意基础设施伪造合法的企业资源。去年，Star Blizzard 的攻击策略已从主要使用电子邮件中的恶意文档附件转向使用指向恶意链接的定向网络钓鱼，这些链接指向 AiTM 页面，目标包括政府机构、非政府组织 (NGO) 和学术机构。威胁行为者高度个性化的电子邮件冒充目标用户理应会收到邮件的个人，包括知名的政治和外交人物，从而增加目标用户上当受骗的可能性。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限：@changwaiguang

安全空间从底层构建数据保护机制。采用文件过滤驱动全程监控文件的读写操作，仅允许合法进程访问。涉及宿主机文件时，访问请求会被引流至虚拟副本，避免对真实文件产生影响。与此同时，vdisk虚拟磁盘为安全空间提供专属“保险箱”，所有数据均写入其中并经强加密算法加固保护。未挂载时，该磁盘在主机上仅表现为不可直接访问的加密文件，有效杜绝数据泄露。再结合注册表、管道等多层隔离，确保数据始终牢牢锁定在安全边界内。

● 网络与服务隔离

安全空间利用WFP在内核层精确拦截和过滤每一个数据包，灵活实现放行、拦截或隧道传输，做到按需精准管控。对内部应用，规则更为严格，禁止其越界访问外网。与此同时，系统服务被虚拟化，空间应用调用的并非真实宿主机服务，而是“克隆”的虚拟实例，即使恶意程序也无法借机攻击主机。网络与服务双重隔离，使安全空间既能安全联网，又能有效守护系统核心。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限： https://t.me/changwaiguang

安全空间是在终端设备上创建的隔离环境，在这个环境中运行的程序和数据均与主机相互独立、互不干扰。用户在空间内运行应用或浏览网页，不会影响主机的系统与数据。

在这一环境中，与主机实现逻辑隔离，所有操作均受严格管控。空间内提供访问控制、文件隔离、网络隔离、剪贴板与外设管控、程序与文件外发管理、水印防护等全方位安全能力。

这种方式确保即使终端遭受攻击，威胁也难以突破安全空间进入关键业务网络，从而成为抵御未知威胁的最后一道防线。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限： https://t.me/changwaiguang

在云计算与移动办公时代，企业内外网边界逐渐消失，终端既承担办公业务又频繁接触互联网，安全风险显著提升。企业缺乏有效的终端管理，数据未区分业务与互联网资源，导致数据保护效果不佳。传统安全产品多聚焦内网，忽视互联网威胁，木马与病毒容易扩散并引发数据泄露；或一刀切的采用文件加密与网络隔离影响员工体验和办公效率。

当前企业数据安全的核心挑战在于：终端风险高、外部入侵频繁、数据泄露严重、效率受限。这表明，仅靠传统防病毒软件和数据防泄漏等技术已经难以全面防护终端层面的数据安全。由此，安全工作空间应运而生，为数据安全提供了新的思路。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限： https://t.me/changwaiguang

在攻防演练准备中，扫描目标资产时最头疼的问题是什么？

是大量的访问导致使用的ip被封！手动更换IP不仅耗时费力，还可能导致任务中断、得分下降。

给大家推荐一款轻松简单，小白也能上手搭建的代理池——fir-proxy。这款开源高可用代理池能在多个IP中智能自动轮换新IP，大幅降低手动操作时间，让你专注于攻击策略，提升演练得分效率。(该项目一个星期的时间就已经有三位数的star，可见质量之高。)
文件下载后，项目需由python编写，按照requirements所需的环境安装，完成并运行main.py就能进入到如图所示界面，功能一目了然，下面就对项目的优点做个简单介绍。



代理获取途径多样化：支持获取在线代理，也可以自己导入代理（上图中的可用代理文件夹里面有作者自己私藏的ip而且还会更新）。什么你说这都满足不了你？作者还自己写了个爬取的脚本，可以自己去爬取。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限： https://t.me/changwaiguang

防火墙策略：在网络边界防火墙或主机防火墙上，阻止所有对外访问 http://xmr.crypto-pool.fr/ 及其IP地址的流量。

DNS过滤： 在内部DNS服务器上，将 http://xmr.crypto-pool.fr/ 解析到本地回环地址 http://127.0.0.1/ 或黑洞地址，以阻断其通信。

全网扫描与监控
全网扫描：使用终端安全防护软件或EDR工具，对全网所有Linux主机进行深度扫描，查找是否存在相同或相似的恶意文件。

日志审计：检查系统日志（/var/log/messages, /var/log/secure）和安全事件日志，追溯该样本的初始入侵途径。

行为监控：部署网络流量分析（NTA）或EDR系统，持续监控是否有异常进程、可疑的网络连接或权限提升行为。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限： https://t.me/changwaiguang

智能轮换与筛选功能。它支持按区域、质量自动筛选代理。还有两种更换IP方式：设定时间间隔轮换IP和智能轮换IP两种。前者是设置秒数后到时间后更换，后者是根据关键词判断是否更换ip，无缝衔接，省去手动查找和配置的麻烦。结合其高质量验证机制（通过延迟、速度和国际连通性测试），确保每个代理都真实可用，避免因无效IP导致的二次封禁风险。

在检验代理是否可用时可以取消验证防止卡死；全部测试就是将已经在代理列表中的IP进行再次检验；还可以导出可用代理；在设置中设置验证线程数，失败代理清理设置以及自动重测设置。

这一切都通过直观的图形化界面实现，基于ttkbootstrap设计，操作简单直观。动手能力强的朋友可以自己去探索，魔改一下源码。该项目还在持续优化当中，未来可期

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限： https://t.me/changwaiguang

1. 立即隔离与清除
断网隔离：立即将受感染主机从网络中物理隔离，切断其与矿池 http://xmr.crypto-pool.fr/ 的通信。

终止进程：使用 ps aux | grep work32 或 top 命令找到样本进程，然后使用 kill -9 <PID> 强制终止。

删除文件：手动删除样本文件 /usr/work/7f28b2791ad94a202eea5e4c91d47cdeadca4723723427af574519f8aedbf15e。

清理计划任务：编辑 /etc/crontab 文件，删除其中包含该样本路径的行。

2. 清理残留与加固
检查其他目录：在 /tmp、/var/tmp、/dev/shm 等临时目录中查找是否有其他可疑文件。

更新系统：确保系统和所有软件包都已更新至最新版本，修复已知漏洞。

加强SSH安全： 禁用密码登录，强制使用密钥认证；修改默认SSH端口；设置强密码策略。

渗透 提权 拖库 数据 拿后台，更改服务器，可入侵权限： https://t.me/changwaiguang