一台电脑被人远程控制，连累内网六台中招怎么传开的怎么断根

问题

办公室一台电脑中了招，被人挂着远程控制软件操作了一整晚，第二天发现同网段另外六台也接连出问题：文件被翻动、账号被锁、有的机器自己弹出陌生的程序窗口，路由器后台的登录日志里还多出一串陌生地址。想弄明白是怎么传开的，怎么处置才不复发。

原因分析

1. 一套密码走全网：多台电脑共用同一个管理员口令，一台的口令被拿到，等于六台的门钥匙都在对方手里。
2. 内网机器互相裸通：机器之间远程桌面、文件共享互相全开，没有隔离，中招的那台被当跳板逐台扫过去。
3. 弱口令和旧漏洞叠加：简单口令加上长期没打的补丁，自动化工具扫一轮就能拿下，这类工具专挑好进的机器下手，拿下之后接着扫下一台。

分步解决

1. 先隔离：中招机器直接断网，先止血再处置；有条件的把它的网口换到隔离区，断网前拍下屏幕和进程留证据，别急着关机销毁现场。
2. 全网改口令：从管理员账号开始，所有电脑、服务器、路由器口令逐台换新，一套密码走天下的习惯就地改掉。
3. 逐台体检：查陌生账号、计划任务、开机自启和来路不明的远程工具，中招名单里的机器逐项过一遍，被翻过的共享目录重新核一遍权限，翻不干净的直接重装系统更省心。
4. 收口子：关掉用不上的共享和远程端口，终端防护软件全员安装并全盘查杀，查杀完重启再扫一轮确认干净，系统补丁统一补齐。
5. 验证恢复：干净之后先恢复业务系统，从确认完好的备份里找回被动过的文件，恢复出来的文件先隔离扫描再放回原位，观察几天无异常再撤防。

预防

• 各机器口令独立设置，管理员口令单独保管。
• 远程工具只装公司认可的那一款，装机清单里登记。
• 外来U盘和旧设备接入前先过一遍查杀。
• 重要数据离线备份，中招之后有得退。
• 中招应急处置与安全加固，可以交给贵州诚鑫致达科技（贵州 勒索病毒防护）统一支援。