从三个客户中招提及

今年Q1我们处理了三起勒索事务，，一起是通过RDP暴破，，一起是垂纶邮件，，尚有一起是供应商远程维护时被植入后门。。
。三个案例的攻击路径险些可以串成一条教科书式的入侵链。。
。事后复盘时，，客户都问统一句话：”我们防火墙显着开着，，怎么进来的？？”谜底往往是：攻击者基础没走正门，，他们走的侧门。。
。

这不是危言耸听。。
。凭证我们监测到的攻击日志，，Q1北京地区企业遭遇的勒索攻击中，，78% 的初始会见来自三个通例入口：RDP 3389 端口袒露、邮件垂纶、以及相助同伴的供应链渗透。。
。这三种路径险些占满了中小企业被勒索的所有场景。。
。下面我把攻击链条拆开来讲，，每个阶段都会连系真实案例做脱敏剖析。。
。

阶段一：初始会见——三把钥匙开一把锁

攻击者的第一步永远是拿到”入场券”。。
。他们不挑食，，哪把钥匙好使就用哪把。。
。

RDP 暴破是最常见的一把钥匙。。
。去年某家做商业的公司，，IT 治理员图省事把财务服务器的 3389 端口直接映射到公网，，密码设的是 “Admin123!”。。
。攻击者用字典剧本跑了三天，，乐成登录。。
。那天晚上攻击者没急着下手，，而是花了两周时间摸清了这家公司的 AD 架构、备份战略、甚至财务软件的治理员账户。。
。真正的加密爆发在某个周五晚上九点——等 IT 第二天上班，，十八台服务器所有中招。。
。

垂纶邮件是另一把万能钥匙。。
。我们今年2月遇到的谁人案例，，攻击者伪装成顺丰快递发送垂纶邮件，，附件是一个压缩包，，内里是个看起来很正常的 PDF 图标。。
。员工双击后，，HTA 剧本在后台拉了一个 Cobalt Strike，，powershell 无文件落地，，直接内存执行。。
。等清静软件反映过来的时间，，横移已经完成一半了。。
。

供应链渗透这把钥匙最难防，，由于它攻击的不是你，，而是你的服务商。。
。某制造业客户被黑的原因很离谱：给他们做 ERP 实验的外包公司，，远程维护时用了弱口令 VPN，，攻击者顺着这根网线直接进到了客户内网。。
。这就好比你家防盗门再结实，，隔邻邻人把钥匙弄丢了，，贼照样能进来。。
。

阶段二：横向移动——从一台机械到全网瓦解

拿到初始入口后，，攻击者不会知足于一台机械。。
。他们要做的是扩大战果，，直到控制整个网络。。
。

常见的横移手艺包括：Pass-the-Hash、Mimikatz 抓密码、NTLM 中继、以及使用 ms17-010 这类内网老误差。。
。一旦在内网某台机械上拿到治理员凭证，，攻击者就会用 Cobalt Strike 或者类似工具批量探测内网存活主机。。
。 我们视察到勒索软件最弦恢比攻击的机械是：域控制器、备份服务器、VMware vCenter、以及任何挂着共享存储的文件服务器。。
。 这不希奇——先控制这些机械，，加密效果最好，，勒索收益最大化。。
。

横移历程中，，攻击者还会做一件事：关闭清静软件。。
。他们会用 PsExec 远程执行下令行，，或者直接在内存中加载恶意历程绕过杀软的行为检测。。
。某次事务中，，客户装了某着名杀软，，但攻击者通过 GPO 批量下发了禁用杀软的战略——原因是域治理员密码泄露，，攻击者直接拿到了域控权限。。
。

整个横移历程通常在 48 到 72 小时内完成，，但攻击者往往会刻意放慢节奏，，模拟正常治理员的行为，，好比只在事情时间操作、整理日志、以低权限账户先做侦探。。
。这让许多基于阈值的告警系统完全失效。。
。

防御要点：六步截断攻击链

知道攻击路径不代表能防住。。
。实操层面，，建议按以下优先级做处理：

1. 封禁 RDP 直接袒露。。
   。把 3389 从公网拿下，，改用 VPN 或者 永乐高力得的零信任接入方案 替换。。
   。着实需要 RDP，，也要开启网络级别认证（NLA）+ 双因素。。
   。
2. 邮件清静不可只靠垃圾邮件过滤。。
   。建议上邮件网关的附件沙箱剖析，，HTA、JS、VBS 这类剧本附件直接阻挡。。
   。
3. 供应链清静要单独做审计。。
   。给所有第三方远程接入建自力账号，，走跳板机，，所有操作录屏审计。。
   。我们给制造业客户做过一次完整的供应商接入审计，，发明 34% 的远程账号从未悔改密码。。
   。
4. 内网分段隔离。。
   。生产网、办公网、访客网必需物理或逻辑隔离。。
   。域控不要装多余软件，，更不要开放 445 端口给非须要机械。。
   。
5. 特权账号管起来。。
   。域管、备份治理员、数据库 DBA 的密码所有走 PAM（特权会见治理），，按期轮换，，别用统一套密码。。
   。
6. 离线备份是最后防线。。
   。3-2-1 原则：至少三份副本，，两种介质，，一份离线存放。。
   。勒索软件会优先删影子副本，，物理隔离的备份介质才是保命符。。
   。

若是你现在还没做过内网渗透测试，，建议尽快安排一次。。
。我们刚给顺义一家工厂做完测试，，第一天就发明了 23 台老旧服务器开着 SMBv1，，直接打 ms17-010 就能横穿整个车间网络。。
。误差不怕多，，怕的是不知道它在哪。。
。