Этот вопрос очень многогранный. Если в вашей сети используются различные средства безопасности, источник атаки будет найти не так сложно. В противном случае придется разгребать логи Windows и анализировать результаты выполнения базовых команд в поисках появления чего-то подозрительного:
> net localgroup administrators
> Get-LocalGroupMember Administrators
> wmic process get name,parentprocessid,processid
> wmic process where 'ProcessID=PID' get CommandLine
> Get-Service | Format-Table -AutoSize
> wmic startup get caption,command
> Get-CimInstance Win32_StartupCommand | Select-Object Name, command, Location, User | Format-List
> Get-ScheduledTask | Format-Table -AutoSize
> Get-ScheduledTask -TaskName Office* | Format-Table -AutoSize
> reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
> reg query HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
> forfiles /D -10 /S /M *.exe /C "cmd /c echo @path"
> forfiles /D -10 /S /M *.exe /C "cmd /c echo @ext @fname @fdate"
> forfiles /p c: /S /D -10
> netsh firewall show config
> netsh advfirewall show currentprofile
> Get-NetFirewallRule | select DisplayName,Direction,Action,Enabled | Where-Object Enabled -eq $true | Sort-Object Direction, DisplayName | Format-Table -AutoSize
> Get-EventLog Application -After (Get-Date).AddHours(-2) | Format-Table -AutoSize
> Get-EventLog System -After (Get-Date).AddHours(-2) | Format-Table -AutoSize
> Get-EventLog System -After (Get-Date).AddHours(-2) | Where-Object {$_.Message -like "*Server*"}
Информация предоставлена исключительно для ознакомительных целей!