1

告警风暴触发

2026年5月25日09:17，EDR控制台突然涌入大量来自内网核心资产区（10.88.0.0/16）的告警，类型涵盖可疑计划任务创建、异常WMI调用及非授权SMB连接。初步分析发现，攻击者利用cPanel WHM任意文件读取漏洞（CVE-2026-29205）获得初始访问权限，随后通过wmiexec.py在内网横向移动。攻击者同时释放了TeamPCP污染过的开源库，触发大量误报，试图淹没真正威胁。

2

误报清洗与真凶锁定

SOC分析师立即启用YARA规则对告警进程进行回溯扫描，并利用Sysmon Event ID 1（进程创建）与Event ID 3（网络连接）日志进行关联分析。通过过滤已知误报源（被污染的日志库进程），发现一个名为svchost.exe的异常进程（实际为rundll32.exe被重命名）持续向C2服务器（malicious-update.cdn）发起HTTPS心跳，且其父进程为计划任务MicrosoftEdgeUpdateTask，确认其为真正的威胁。

3

溯源与清除

确认威胁后，蓝队立即对该主机进行网络隔离，并提取内存镜像。通过分析Mimikatz在内存中留存的凭据哈希，发现攻击者已成功窃取域管理员账号svc_backup。进一步溯源发现，攻击者于05月23日通过钓鱼邮件植入AgentTesla，但当时被EDR误判为低危。安全团队随后在域控制器上重置所有受影响的账号密码，并删除恶意计划任务及注册表持久化项。