场景：2026年9月，华东某精密制造企业。周一凌晨，产线MES系统大面积弹窗，核心数据库文件后缀被改为.locked，业务全线停摆。值班工程师发现备份服务器同样中招，随即拉响一级应急。
攻击 / 事件时间线
初始访问：钓鱼邮件+宏文档投递
攻击者伪装成供应商对账单，向采购部投递带宏的Excel文档。员工启用宏后，VBS脚本落地并调用mshta.exe远程加载C2载荷。流量伪装成正常HTTPS，C2域名使用泛域名证书，规避基础黑名单。首个载荷仅做环境探测，未立即加密，为后续横向争取时间。
恶意宏文档mshta.exeCobalt Strike Beacon
提权与凭据收割
Beacon在采购终端稳定后，攻击者利用本地管理员弱口令配合ProcDump转储LSASS内存，提取域内服务账号凭据。随后通过PsExec横向至文件服务器，部署勒索前置模块。攻击者刻意避开核心ERP，先控制备份节点，切断恢复路径。
ProcDumpMimikatzPsExec
备份摧毁与加密引爆
攻击者登录备份服务器，删除VSS快照并覆盖卷影副本，随后下发勒索主模块。加密进程伪装为svchost.exe，通过计划任务在域内批量触发。加密使用AES+RSA混合，密钥回传C2。产线MES、数据库、共享盘在40分钟内被批量加密，勒索信落地。
vssadmin勒索加密模块计划任务
蓝队视角 · 发现与处置
SOC在凌晨2:17收到EDR告警：多台主机出现异常进程调用vssadmin delete shadows。值班分析师立即研判为勒索前置行为，同步隔离告警主机并冻结备份账号。蓝队通过Sysmon日志回溯，定位到采购终端的mshta外联记录，确认初始入口。随后启用网络分段策略，阻断C2域名与横向SMB流量，保留一台未加密主机作为诱饵继续观察。因备份被提前破坏，恢复依赖离线冷备，最终在72小时内完成核心系统重建。
涉及关键技术 / 工具
LSASS内存转储与凭据提取VSS快照删除与备份摧毁Sysmon进程链与网络外联日志分析
防护经验总结
- 对备份服务器启用独立域账号与双人审批，禁止与生产域共享凭据，卷影副本设置不可删除权限。
- 在EDR/Sysmon中针对vssadmin、wbadmin、bcdedit等命令建立高优先级告警规则，触发即自动隔离主机。
- 办公终端默认禁用Office宏，仅对白名单签名文档放行，并限制mshta、wscript等LOLBin的对外网络访问。
#勒索软件#内网横向#应急响应