1

初始访问

攻击者利用合作商邮件服务器漏洞（CVE-2026-4410）植入后门，劫持其邮件发送权限。伪造集团财务部名义，向员工发送标题为《2026年Q3供应商对账单》的钓鱼邮件，附件为带恶意宏的Excel文档。邮件网关基于SPF/DKIM校验通过，未能识别发件人已被劫持。

2

权限提升

员工打开附件并启用宏，恶意代码通过PowerShell下载Cobalt Strike Beacon。Beacon利用PrintNightmare漏洞（CVE-2026-3451）尝试本地提权，成功获取SYSTEM权限。随后通过WMI横向探测内网，发现域控服务器存在弱密码策略。

3

横向移动

攻击者使用Mimikatz抓取域管理员哈希，通过Pass-the-Hash技术登录域控。在域控上部署持久化计划任务，并利用SMB共享传播勒索病毒（Sorry勒索病毒变种）。内网200余台服务器被加密，业务系统全面瘫痪。

4

数据窃取

勒索加密前，攻击者利用rclone将财务系统、人事系统数据库文件上传至MEGA云盘，总数据量约1.2TB。同时清除Windows事件日志，删除PowerShell历史记录，试图掩盖入侵痕迹。