一、 事件背景与初步预警
某中型制造企业（员工约300人）的IT运维团队于周一上午9:15收到企业终端安全管理系统（EDR）发出的高危告警。告警内容显示：财务部的三台工作站检测到“行为异常”，疑似正在对非系统盘文件进行大规模加密操作。与此同时，监控大屏显示内部核心文件服务器的CPU占用率突然飙升至95%以上，且网络流量中出现大量的SMB（445端口）突发连接请求。
由于该企业此前未发生过此类安全事件，运维人员在初始阶段未能迅速判断这是否为误报或普通故障，导致黄金处置时间被延误。此次案例将重点复盘从发现异常到完全遏制病毒传播的全过程。
二、 现场应急响应与隔离
1. 物理断网与逻辑隔离
接到告警后，首席IT管理员立即执行了紧急预案：
- 切断外网连接：在核心防火墙上封锁所有出站规则，防止病毒向C2服务器回传密钥或联系僵尸网络节点。
- VLAN隔离：将财务部及文件服务器所在的VLAN与其他办公网段逻辑隔离，仅保留必要的管理通道。
- 禁用共享权限：暂时暂停文件服务器的所有SMB共享服务，阻止其他潜在感染主机挂载受损共享文件夹。
2. 存活主机筛查
通过EDR控制台快速检索告警主机列表，共发现8台终端报告异常。其中3台位于财务部PC区，另外5台分布在研发部和行政部。管理员立即通过带外管理工具（OOB）强制重启这8台主机，并禁止其加入域环境，直到完成彻底清理。
三、 深入溯源与攻击路径分析
为了找出病毒入口及横向移动路径，团队调取了Windows事件日志（Event Logs）、防火墙日志以及域控制器（AD）的操作日志。
3.1 初始感染源定位
通过对首发告警的主机A进行日志分析，发现其在事发前2小时曾访问过一个名为“2024年度薪酬汇总.xlsx”的文件。该文件通过企业QQ发送给了一位财务人员，而发送方是另一台已被标记为“可疑”的外部邮箱账户。经杀毒软件厂商特征库比对，该Excel文件嵌入了PowerShell恶意脚本，利用Word的宏漏洞实现了初步落盘。
3.2 横向移动手段揭秘
病毒在主机A上释放后，并未直接加密文件，而是启动了持久化模块。分析发现，攻击者利用了弱口令爆破技术：
- 病毒扫描局域网内开启了SMB服务的IP地址。
- 利用字典中包含的默认口令（如Admin123!、Password@1等）对域账号进行暴力破解。
- 成功获取了3个高权限域用户账号的明文密码。
- 通过WMI（Windows Management Instrumentation）远程执行命令，将勒索病毒载荷静默部署到其他5台主机上。
关键发现：域控日志中出现了大量来自同一IP段的4625（登录失败）和随后的4624（登录成功）事件，且目标账号为多个不同部门的管理员账户。
3.3 文件服务器受损情况
病毒最终通过横向移动到达核心文件服务器。由于服务器使用了与域管理员相同的密码策略，且开放了不必要的远程管理接口，攻击者成功登录并挂载了D盘数据目录。随后，病毒遍历目录，对.docx、.xlsx、.pdf等常用办公格式进行AES+RSA混合加密，并在每个目录下留下了“readme_decrypt.txt”的勒索信。
四、 清除与恢复实战
1. 恶意样本清除
在隔离环境中，安全专家提取了病毒样本进行逆向工程。确认其为针对ShadowCopy（卷影副本）的攻击变种，它会先删除系统的Volume Shadow Copy Service备份，再执行加密。团队使用专用清除工具删除了注册表中的持久化项，并清除了临时目录下的恶意DLL文件。
2. 凭证重置
鉴于攻击者已获取明文密码，所有涉及到的域账号、本地管理员账号以及关联的服务账号必须立即强制重置密码。同时，启用多重身份验证（MFA），特别是对于拥有文件服务器访问权限的账户。
3. 数据恢复策略
由于攻击者删除了本地卷影副本，IT团队决定采用“离线备份恢复法”：
- 验证备份完整性：从上周日的全量备份中随机抽取100个文件，确认未受病毒影响。
- 建立隔离恢复区：在一台独立的、断网的虚拟机上挂载备份磁盘，恢复文件服务器数据。
- 逐步上线：恢复完成后，先在沙箱环境中运行关键业务测试，确认无异常后，再重新接入生产网络。
五、 复盘总结与防御建议
此次事件虽未造成永久性的数据丢失，但导致了超过4小时的业务中断，严重影响了两家重要客户的合同交付。为防止类似事件再次发生，提出以下整改建议：
5.1 强化终端安全防护
- 禁用不必要的应用：通过组策略（GPO）禁用Office宏的自动运行，仅允许受信任数字签名的宏执行。
- 小权限原则：普通员工账户不应拥有本地管理员权限，严禁使用admin/admin等弱口令。
5.2 网络分段与访问控制
- 微隔离策略：在核心交换机上配置ACL，限制财务部和服务器区域之间的非必要通信，仅开放80/443/22等特定端口。
- SMB加固：关闭SMBv1协议（极易受 EternalBlue 等漏洞利用），强制使用SMBv3并启用端到端加密。
5.3 完善备份机制
- 3-2-1备份法则：保留3份数据副本，存储在2种不同介质上，其中1份异地离线存储（Air-Gapped Backup），以防勒索病毒加密在线备份。
- 定期演练：每季度进行一次数据恢复演练，确保备份数据真正可用，并测试恢复时间目标（RTO）是否满足业务需求。
编辑点评：勒索病毒攻击已从单纯的加密文件演变为针对性的“勒索即服务”（RaaS）产业链。对于中小企业而言，防御的核心不在于单一的安全产品，而在于纵深防御体系的构建以及员工的安全意识培训。定期审计日志、严格管理密码策略以及保持离线备份，是应对此类威胁的有效手段。
