一、 事件背景与异常现象
某中型制造企业（员工约300人）的IT运维团队于周二上午9:15接到通知，财务部的几台终端无法访问共享文件夹。起初，管理员认为这是常见的网络波动或交换机端口故障，未予重视。然而，到了上午10:30，情况急转直下：多个部门的电脑弹出加密提示，文件扩展名变为陌生的乱码字符，且系统资源占用率瞬间飙升至90%以上。
经初步检查，确认企业内部部署的终端防护软件（EDR）虽然在部分主机上报警，但未能完全阻止加密进程的发起。更严重的是，安全团队发现攻击者早在周一深夜便已通过内部网络进行了潜伏和横向移动，直到第二天才大规模爆发。这一案例揭示了传统"边界防御"思维在应对高级持续性威胁（APT）或勒索软件变种时的局限性，特别是针对内网横向移动的实时监控能力不足的问题。
二、 第一阶段：快速遏制与现场隔离
面对正在发生的加密行为，首要任务不是立即查杀病毒，而是切断传播途径。IT团队按照应急预案执行了以下操作：
- 物理/逻辑断网： 立即在核心交换机上隔离受感染的VLAN，防止病毒通过SMB（445端口）或WannaCry类蠕虫特征进一步扩散到其他未中毒的主机。
- 禁用相关账号： 经查询域控制器日志，发现一组用于自动化备份的高权限域账号在周一深夜有异常登录记录。立即禁用这些账号，并强制重置所有域管密码，以防攻击者利用获取的凭据继续控制其他服务器。
- 保留现场证据： 对第一台发现异常的财务主管PC进行镜像备份（包括内存Dump），严禁直接重启，以免丢失内存中的恶意进程信息。
三、 第二阶段：基于EDR日志的攻击路径复盘
网络隔离后，安全团队开始深入分析EDR平台收集的历史日志，试图还原攻击者的入侵与横向移动轨迹。
1. 初始入侵点定位
通过时间线回溯，发现周一23:45，一台开发部的测试服务器产生了异常的外联行为。该服务器近期曾允许开发人员使用个人U盘拷贝代码，EDR日志显示在23:40左右，一个名为`svchost.exe`但位于`C:\Users\Temp\`目录下的进程启动，并尝试连接外部C2（命令与控制）服务器。这通常是攻击者通过可移动介质植入后门或利用弱口令扫描进来的迹象。
2. 横向移动手段分析
确认初始感染点后，重点分析了该服务器随后产生的网络连接日志。数据显示，在23:50至次日01:00之间，该服务器向内部网段的其他15台主机发起了大量445端口连接请求，且伴随大量的PSEXEC服务创建事件和WMI远程执行记录。
关键技术细节：
- PSEXEC滥用： 攻击者使用了Sysinternals套件中的PsExec工具，利用之前泄露的管理员凭据，在受害主机上以SYSTEM权限创建远程服务，从而执行恶意负载。
- Lateral Movement Tool： EDR检测到名为`mimikatz.exe`的进程内存注入行为，这表明攻击者使用了密钥提取工具来抓取当前登录用户的NTLM哈希，进而实现"Pass-the-Hash"（哈希传递）攻击。
四、 第三阶段：主机级深度取证与清除
仅仅依靠日志是不够的，必须在受感染主机上进行细致的清理和验证，确保没有残留的后门。
1. 进程与网络连接检查
在隔离区内，使用Autoruns和Process Explorer等专业工具对所有疑似中毒的主机进行扫描：
- 检查是否有非微软签名的可疑进程驻留内存。
- 审查TCP/UDP活跃连接，关闭指向已知恶意IP或异常内部IP的连接。
- 查看计划任务和启动项，发现攻击者在每台被渗透的主机中创建了一个隐藏的计划任务，用于在重启后重新拉取恶意载荷。
2. 注册表与持久化机制清理
勒索软件通常具备极强的持久化能力。通过注册表编辑器检查以下关键位置：
- `HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run`
- `HKCU\Software\Microsoft\Windows\CurrentVersion\Run`
- DLL劫持相关文件：检查`C:\Windows\System32\`目录下是否有体积异常或时间戳可疑的动态链接库文件。
在本次案例中，清理过程中发现攻击者在`C:\ProgramData\`目录下创建了隐藏文件夹，并植入了配置文件，用于指定加密的文件类型和目标服务器地址。删除这些文件后，还需确保文件系统权限已恢复正常。
3. 漏洞修补与加固
为了防止重蹈覆辙，必须修复初始入侵的漏洞。经排查，测试服务器存在未修补的MS17-010永恒之蓝漏洞，且默认开启了SMBv1协议。IT团队立即采取了以下加固措施：
- 补丁更新： 对所有服务器和终端应用最新的安全补丁，特别是针对SMB协议的漏洞修复。
- 关闭高危端口： 在防火墙层面封堵445、135、139等非必要端口的外部访问，并限制内部跨网段的SMB通信。
- 最小权限原则： 审查域账号权限，回收不必要的本地管理员权利，强制启用多因素认证（MFA）。
五、 经验总结与建议
此次勒索软件事件虽未造成永久性数据丢失（通过离线冷备份恢复了大部分数据），但暴露了企业在内网监控和应急响应方面的短板。为提升未来的防御能力，建议采取以下措施：
- 加强终端可视化： 部署能够显示进程树和网络行为关联的EDR解决方案，而不仅仅是基于特征码的杀毒软件。
- 实施网络微隔离： 在内部网络划分更细粒度的安全域，限制服务器与工作站之间的非必要通信。
- 定期演练应急响应： 每季度进行一次勒索软件模拟攻击演练，检验IT团队的发现、遏制和恢复能力。
- 完善备份策略： 严格执行"3-2-1"备份原则，确保至少有一份备份是离线的、不可篡改的，以应对勒索软件的加密威胁。
通过本案例的复盘，可以看出，面对现代勒索软件，单纯依赖事后查杀已远远不够。建立主动的威胁狩猎（Threat Hunting）机制，结合快速的横向移动阻断能力，才是保障企业数据安全的关键。