1

初始访问

攻击者利用社会工程学，向集团一名运维人员发送了标题为“关于开展2026年网络安全实战演练的通知”的钓鱼邮件。邮件附件为一份经过混淆的恶意宏文档，该文档利用CVE-2026-XXXX（微软Office远程代码执行漏洞）在受害者机器上执行了第一阶段的PowerShell加载器。加载器通过HTTP协议与攻击者控制的C2服务器（域名为update.office-365-helper.com）进行通信，下载了第二阶段的Cobalt Strike Beacon，实现了对集团内网一台运维终端的初步控制。

2

权限提升与横向移动

Beacon上线后，攻击者首先执行了whoami和systeminfo命令，确认当前权限为域普通用户。随后，攻击者利用Mimikatz在终端内存中抓取了本地管理员账户的明文密码（弱口令：Qwer@1234），并利用该密码通过Pass-the-Hash技术尝试登录了同网段内的多台服务器。在成功登录一台未打补丁的Windows Server 2012主机后，攻击者利用其存在的PrintNightmare漏洞（CVE-2021-34527）成功获取了该主机的SYSTEM权限，并将其作为跳板机，开始在内网进行信息收集和代理搭建。

3

数据窃取

攻击者以跳板机为据点，通过内置的net view和findstr命令在内网中搜索包含“财务”、“数据库”、“备份”等关键字的文件共享和服务器。发现一台核心业务数据库服务器（IP: 10.10.10.88）后，攻击者利用SQL Server的xp_cmdshell扩展存储过程，通过SQL注入漏洞（弱口令sa账号）尝试执行系统命令。在多次尝试后成功，攻击者上传了7-Zip工具，将数据库中的敏感表（涉及用户信息、财务报表）导出并压缩为加密压缩包，随后通过FTP协议分块传输至境外服务器，整个数据窃取过程持续了约6小时。