1

初始访问

攻击者通过钓鱼邮件附件携带的恶意VBA宏，利用CVE-2026-4480 Samba漏洞在内网一台文件服务器上获得初始立足点。该漏洞为未授权远程代码执行，攻击者通过精心构造的RPC请求触发smbd进程内存破坏，执行了基于Cobalt Strike的Beacon载荷。

2

提权与持久化

攻击者在获得初始权限后，利用Mimikatz抓取本地管理员明文口令，并发现该服务器存在域管权限委派，通过BloodHound分析域内路径，定位到一台未打补丁的域控。随后使用DCSync攻击同步域控哈希，成功获取域管理员权限，并部署计划任务实现持久化。

3

横向移动

攻击者使用域管凭证，通过WMI和PsExec批量横向移动到研发网段的数十台工作站，在每个失陷主机上植入内存马，用于窃取研发代码和设计文档。横向移动过程中，大量异常的计划任务创建和WMI事件订阅触发了我们在关键服务器上部署的Sysmon Event ID 1和11规则。

4

告警触发与研判

SOC值班人员从SIEM中收到大量来自域控和文件服务器的Sysmon告警，其中一条创建计划任务的日志（Event ID 4698）显示执行路径为C:\Windows\Tasks\update.job，且父进程为svchost.exe，与正常系统行为不符。进一步关联发现，该任务启动的powershell命令从远程IP 203.0.113.x下载加密的PowerShell脚本，确认失陷。

5

溯源与处置

蓝队立即对失陷域控和文件服务器进行断网隔离，提取内存镜像和日志。通过分析Beacon的配置文件和C2域名（已挂黑），结合威胁情报关联到某APT组织。随后在域控上部署YARA规则扫描内存马，并批量重置所有域用户凭证，清除计划任务和WMI持久化机制。