场景：2026年9月，某汽车零部件制造企业突遭勒索攻击，生产MES系统停摆，财务与ERP内网大面积文件被加密，触发核心业务告警。
攻击 / 事件时间线
初始访问与立足
攻击者利用暴露在公网的Citrix VPN未修补漏洞（CVE-2025-XXXX）投递Web Shell，通过certutil下载Cobalt Strike Beacon。随后利用Mimikatz抓取本地管理员哈希，打通内网第一跳。
Citrix漏洞利用Cobalt StrikeMimikatz
横向移动与提权
通过SMB共享和RDP爆破横向至文件服务器，利用PsExec远程执行勒索载荷前置脚本，关闭Windows Defender并删除卷影副本（vssadmin delete shadows）。同时利用Advanced IP Scanner绘制内网拓扑。
PsExecAdvanced IP Scannervssadmin
数据窃取与加密
在加密前使用Rclone将财务与设计图纸数据外传至境外云存储，随后分发勒索病毒（LockBit 4.0变种），加密MES数据库及共享文件，留置勒索信。
RcloneLockBit 4.0勒索信
蓝队视角 · 发现与处置
SOC在凌晨3点收到EDR告警：多台主机出现异常vssadmin调用及Defender被禁用。研判发现同一账号在10分钟内登录5台服务器，触发横向移动规则。立即隔离受感染主机，阻断SMB横向端口，并通过Sysmon日志回溯定位初始Web Shell。同步启动备份恢复，但发现备份服务器已被Rclone外联痕迹，迅速切断出口流量并重置所有域管理员凭据。
涉及关键技术 / 工具
Cobalt Strike Beacon与Mimikatz凭据窃取PsExec横向移动与卷影副本删除Rclone数据外传与LockBit 4.0加密
防护经验总结
- 对Citrix VPN等边缘设备实施漏洞闭环管理，强制每周扫描并修复高危漏洞，启用多因素认证。
- 部署EDR规则监控
vssadmin delete shadows、wbadmin等卷影删除行为，并限制域管理员账户的交互式登录。 - 实施离线备份与网络隔离，备份服务器禁止出站访问，定期演练恢复流程，确保勒索后72小时内可恢复核心数据。
#勒索软件#横向移动#应急响应