1

初始植入：U盘与驱动零点击

攻击者将恶意U盘遗落于目标集团停车场，U盘内预置Windows驱动安装机制利用的恶意INF文件。当员工拾取并插入USB接口时，系统自动触发驱动安装流程，无需任何用户点击。恶意驱动通过签名伪造绕过驱动签名强制策略，加载后释放DLL到系统目录，并注册为系统服务实现持久化。整个过程在Windows事件日志中仅留下驱动安装记录，未触发任何安全告警。

2

权限维持与内网探测

恶意DLL以SYSTEM权限运行，通过WMI查询域控信息与内网拓扑。攻击者使用Cobalt Strike Beacon建立加密C2通道，流量伪装为HTTPS协议混入正常业务流量。Beacon执行powershell脚本收集本机凭据，利用Mimikatz抓取明文密码与Kerberos票据，并将结果分段压缩后经DNS隧道外传，规避传统流量检测设备。

3

横向移动：供应链软件分发链劫持

攻击者发现目标集团使用内部软件分发服务器统一推送办公软件更新。通过窃取到的域管理员凭据，登录分发服务器并替换某常用办公辅助工具的安装包，植入后门程序。随后强制触发客户端更新策略，使内网超200台主机在数小时内全部安装恶意更新包。后门程序随即被激活，建立大量C2会话，形成庞大的受控僵尸网络。

4

数据窃取与撤离

攻击者对多台受控主机进行文件搜索，定位到包含产品设计图纸与客户合同的敏感共享目录。使用Rclone工具将数据加密后分批上传至境外云存储，全程模拟正常云备份流量。在完成核心数据窃取后，攻击者清除分发服务器上的恶意安装包与相关日志，并卸载部分后门程序，仅保留少量隐蔽持久化点用于后续访问。