Windows服务器恶意计划任务与服务排查

服务器被植入恶意计划任务和服务，最直接的感受就是CPU莫名飙高、网络异常外联、杀软频繁报毒却杀不干净。排查这类问题时，不要只盯着进程列表看，因为很多高级威胁已经实现了无文件攻击，它们把持久化完全寄托在计划任务和系统服务上。你需要做的第一件事，是打开一个具备管理员权限的命令行窗口，而不是图形界面。图形界面的任务计划程序在遭遇对抗时容易被劫持或隐藏条目，命令行获取的信息更底层、更真实。

在命令行中执行 schtasks /query /fo list /v 可以导出极其详细的计划任务列表。这条命令比单纯看任务名称有用得多，因为它会输出任务对应的“要运行的程序”以及“触发器”。你需要重点关注那些 Action 指向了临时目录、用户下载目录或者 C:\ProgramData 下可疑子文件夹的任务。特别留意参数中带有 base64 编码字符串的 PowerShell 命令，这是挖矿木马和远控木马的典型特征。

如果你发现使用 schtasks 命令列出的任务数量明显少于你在注册表中看到的数量，或者有些任务在命令行中显示“错误: 系统找不到指定的文件”，这往往意味着攻击者删除了任务对应的可执行文件，但任务本体还在，或者是安全软件隔离了恶意文件，但残留了计划任务条目。此时你需要进入注册表路径 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree，在这里你可以看到最完整的任务树结构。很多高级木马会在这里创建看似正规的任务名，比如以“Microsoft”、“Windows”、“Update”开头，但路径层级混乱，只要仔细对比，就能发现伪造的痕迹。

每一个计划任务在 C:\Windows\System32\Tasks 目录下都有一个对应的 XML 配置文件。直接查看这些 XML 文件，能发现命令行看不到的隐藏属性。恶意任务经常在 <Hidden> 标签中设置为 true，使得在图形界面中不显示。还有些恶意软件会在 <Arguments> 中填入超长的混淆命令，利用环境变量拼接来绕过静态检测。你可以用以下 PowerShell 脚本批量提取所有计划任务的执行动作，快速定位可疑项：

Get-ScheduledTask | ForEach-Object {
    $task = $_
    $actions = $task.Actions
    foreach ($action in $actions) {
        if ($action.Execute -match 'powershell|cmd|wscript|mshta|cscript|rundll32') {
            [PSCustomObject]@{
                TaskName = $task.TaskName
                TaskPath = $task.TaskPath
                Command   = $action.Execute
                Arguments = $action.Arguments
            }
        }
    }
} | Format-List

执行这段脚本后，重点审查 Arguments 中包含 -enc、-e、FromBase64String、IEX 等关键字的条目。这些是 PowerShell 无文件攻击的典型标志。如果发现可疑任务，不要急着删除，先用 schtasks /query /tn "任务路径" /fo list /v 把详细信息保存下来作为取证样本，再执行 schtasks /delete /tn "任务路径" /f 进行清除。

恶意服务的排查比计划任务更复杂，因为服务可以以内核驱动形式运行，权限极高。在命令行输入 sc query state= all 可以列出所有服务的运行状态。你需要特别关注那些服务名和显示名不一致、或者显示名模仿微软官方服务但服务名却很随意的条目。比如显示名为“Windows Update Helper”，但服务名却是“WUHelper123”这种带数字后缀的，基本可以判定为恶意。

更有效的排查方式是直接分析服务对应的二进制路径。执行以下命令导出所有服务的路径信息：

Get-WmiObject win32_service | Select-Object Name, DisplayName, PathName, StartMode, State | Where-Object { $_.PathName -ne $null } | Format-List

查看结果中的 PathName 字段，如果发现服务指向了非 System32 或 Program Files 的路径，特别是指向了 AppData、Temp 或者 C:\Users\Public 目录，那基本就是恶意服务。另外，有些恶意服务会利用 svchost.exe 的 -k 参数来加载恶意 DLL，这种服务在 PathName 中看起来是正常的 svchost.exe，但实际加载的 DLL 却不同。对于这种情况，你需要进一步检查注册表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\服务名\Parameters，查看 ServiceDll 键值是否被篡改。正常情况下，只有少数几个微软服务会在这里注册 DLL，如果出现了陌生的 DLL 路径，那就是被劫持了。

驱动级恶意服务更难排查，因为它们运行在 Ring0 级别。使用 sc query type= driver 可以列出所有内核驱动服务。重点关注那些状态为 RUNNING 但 DisplayName 为空或者描述信息乱码的驱动。更直接的办法是使用 DriverView 这类工具，按创建日期排序，查看最近释放到系统中的 .sys 文件。恶意驱动通常没有有效的数字签名，或者使用盗用的、已过期的签名。在排查时，如果发现某个驱动文件的签名者显示为“Microsoft Windows”但签名证书的指纹与微软官方发布的不符，那就是典型的伪造签名。

清除驱动级恶意服务需要格外小心，直接删除可能导致系统蓝屏。正确的做法是先使用 sc config 服务名 start= disabled 将其启动类型改为禁用，重启系统后再删除对应的注册表项和 .sys 文件。如果遇到驱动文件被锁定无法删除的情况，可以使用 MoveFileEx 配合重启删除机制，或者在 PE 环境下进行清理。

除了传统的计划任务和服务，WMI 事件订阅是攻击者常用的高级持久化手段。这种后门没有文件实体，完全驻留在 WMI 数据库中。你可以在 PowerShell 中执行以下命令来检查是否存在恶意的 WMI 事件消费者：

Get-WmiObject -Namespace root/Subscription -Class __EventConsumer | Select-Object Name, CommandLineTemplate
Get-WmiObject -Namespace root/Subscription -Class __EventFilter | Select-Object Name, Query
Get-WmiObject -Namespace root/Subscription -Class __FilterToConsumerBinding | Select-Object Filter, Consumer

如果发现 CommandLineTemplate 中包含 PowerShell、VBScript 或者下载执行命令，且对应的 Filter 是每隔几分钟触发一次，那这就是一个定时后门。清除方法是通过 Remove-WmiObject 命令删除对应的 Filter、Consumer 和 Binding 对象，缺一不可。

恶意计划任务和服务能够创建成功，说明攻击者已经获得了足够高的权限。排查的最后一步是审计系统账户和组权限。使用 net localgroup administrators 查看管理员组成员，确认没有陌生的账户被添加。同时检查 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names 注册表项，这里记录了所有本地账户，即使攻击者通过工具隐藏了账户，在这个位置也会留下痕迹。

对于服务权限，使用 sc sdshow 服务名 可以查看服务的权限描述符。恶意服务往往会修改权限设置，使得普通用户无法停止或删除该服务。如果发现服务的权限字符串中包含了一些奇怪的 SID，那就是被刻意加固了。此时需要先用 psexec 以 SYSTEM 权限启动命令行，再进行权限重置和删除操作。

整个排查过程的核心思路是从持久化机制入手，沿着计划任务、系统服务、WMI事件订阅、账户权限这条链路逐层深入。每一步都要对比正常基线，任何不符合微软默认配置的条目都值得深挖。清理完成后，建议使用 Autoruns 工具做一次全量快照，与之前的异常状态进行对比，确保没有残留的启动项。同时加固本地安全策略，限制普通用户创建计划任务和服务的权限，从源头上降低再次被植入的风险。