要查看 “WannaMine” 挖矿木马的 “install.exe” 是从哪个 IP 感染过来的，可以通过以下几种方法：
- 网络流量分析：
- 使用网络监控工具：可以在受感染的计算机或网络设备上部署网络监控工具，如 Wireshark、tcpdump 等。通过这些工具捕获网络流量，然后分析与 “install.exe” 相关的连接信息。查找与该程序通信的外部 IP 地址，这些 IP 地址可能就是挖矿木马的来源。在分析流量时，关注与挖矿行为相关的特征，如大量的数据传输到特定的矿池地址等。
- 检查防火墙日志：如果网络中部署了防火墙，防火墙通常会记录进出网络的连接信息。查看防火墙的日志记录，查找与 “WannaMine” 挖矿木马相关的连接尝试和通信记录，从中可以获取到感染源的 IP 地址。不过，这需要确保防火墙的日志记录功能是开启的，并且保存了足够长的历史记录。
- 系统日志分析：
- 操作系统日志：检查受感染计算机的操作系统日志，如 Windows 系统的事件查看器。在事件查看器中，查找与异常进程启动、网络连接建立等相关的事件记录。这些记录可能会包含与 “install.exe” 相关的信息，以及与之通信的远程 IP 地址。同时，注意查看系统的安全日志，看是否有未经授权的访问或异常的登录尝试。
- 应用程序日志：如果受感染的计算机上运行了相关的安全软件或应用程序，这些程序可能会记录与挖矿木马相关的信息。例如，一些防病毒软件会记录检测到的恶意程序的行为和相关的网络连接信息，查看这些应用程序的日志可能会找到感染源的 IP 地址。
- 威胁情报平台2：
- 利用专业的威胁情报服务：有许多专业的威胁情报平台可以提供关于恶意 IP 地址的信息。将在网络流量分析或系统日志中发现的可疑 IP 地址提交到这些威胁情报平台进行查询，可以获取该 IP 地址的相关信息，如是否被标记为恶意 IP、是否与已知的挖矿木马活动相关等。一些常见的威胁情报平台包括微步在线、360 威胁情报中心等。
- 内网溯源：
- 检查内网设备的日志：如果 “WannaMine” 挖矿木马是在内部网络中传播的，那么可以检查内网中其他设备的日志，看是否有与受感染计算机的通信记录。例如，查看交换机、路由器等网络设备的日志，查找与受感染计算机 IP 地址相关的连接信息，这可能有助于确定挖矿木马在内网中的传播路径和感染源。
- 分析网络拓扑：了解内网的网络拓扑结构，确定受感染计算机与其他设备的连接关系。通过分析网络拓扑，可以推断出挖矿木马可能的传播方向和感染源的大致位置。例如，如果受感染计算机与某个特定的服务器或设备有频繁的通信，那么该服务器或设备可能是感染源的嫌疑较大。