| 线索 1 | 相同 C2/IP/域名出现在多台主机 |
|---|---|
| 线索 2 | 相同账号在多台主机异常登录 |
| 线索 3 | 相同哈希/定时任务出现在多机 |
| 输出 | 受影响主机清单与时间点 |
跨主机检索 IOC（替换为你的样本值）
跨主机检索 IOC（替换为你的样本值）
IOC_IP='203.0.113.10'
grep -r "$IOC_IP" /var/log /etc /www 2>/dev/null | head -n 30
for h in web01 web02 db01; do echo "== $h"; ssh $h "grep -r '$IOC_IP' /var/log 2>/dev/null | head -n 5"; done范围未清就清理单机：攻击者从邻居机器再打回来，白忙一场。