一封"正常"的邮件不正常的开始
2026年6月中旬，包头九原区某物流企业IT部接到财务部报告：出纳收到一封看起来来自合作快递公司的邮件，附件是一个"运费对账单.xlsx"，打开后Excel卡了一下然后正常显示了表格内容。出纳没在意，但3天后公司网银U盾被插入时弹出"驱动异常"，随后内网多台电脑开始出现异常网络流量。
这就是典型的供应链钓鱼攻击——攻击者伪装成合作伙伴发送恶意文档，利用Excel宏漏洞CVE-2025-39941植入远控木马，随后在内网横向移动寻找财务系统入口。
攻击链还原
我们介入后用EDR日志还原了完整攻击链。阶段1初始入侵：发件地址仿冒顺丰域名SPF验证失败但邮件网关未拦截；Excel附件含恶意宏利用CVE-2025-39941执行PowerShell命令；下载Cobalt Strike Beacon伪装成svchost.exe连接C2服务器；创建计划任务每30分钟执行一次维持权限。阶段2内网侦察：用nltest和net group枚举域内用户结构；用Sharphound采集AD拓扑信息用BloodHound可视化分析；发现财务部3台电脑在同一个OU下且域管理员曾登录过其中1台满足Kerberoasting攻击前提条件；使用Rubeus请求TGS票据离线破解获得域管理员密码密码为Company@2024已在泄露库中。阶段3横向移动：用域管理员凭据登录财务部文件服务器；在共享文件夹中发现银行账户密码xlsx未加密存储；部署键盘记录器到出纳电脑捕获网银U盾PIN码；尝试在非工作时间插入克隆U盾进行转账被银行风控拦截。
应急处置：六步阻断
接到报告后2小时内完成以下处置：1网络隔离将财务部3台电脑和文件服务器从生产网络隔离交换机端口shutdown保留独立管理VLAN用于取证；2阻断C2通信在边界防火墙添加规则阻断C2服务器全部流量同时检查DNS日志发现备用域名cdn-update-msft.com需要封禁；3清除计划任务用Autoruns扫描所有端点清除恶意计划任务；4重置凭据强制重置域管理员密码财务部全部用户密码网银操作员密码U盾联系银行做远程挂失重发；5清除木马对所有受影响端点做离线扫描Kaspersky Rescue Disk加Windows Defender Offline确认Cobalt Strike Beacon完全清除；6日志保全导出域控安全日志Exchange传输日志防火墙日志EDR日志做hash校验后存档供后续溯源和合规报告使用。
溯源分析：攻击者画像
通过对C2服务器域名注册信息攻击时间模式TTPs的分析：域名注册于2026年5月28日注册人使用隐私保护但DNS解析记录指向一个已知APT组织的基础设施；C2通信活跃时段为北京时间9:00-18:00与东亚时区工作模式一致；Cobalt Strike加Rubeus加Sharphound的组合与APT-41组织高度吻合；针对物流企业财务流程定制钓鱼邮件说明攻击者对该行业有深入了解可能存在前期情报收集。
加固方案：纵深防御体系
1. 邮件安全网关升级
原有邮件网关仅做SPF/DKIM/DMARC基础验证升级为：沙箱附件detonation所有Office附件在沙箱中打开30秒检测宏行为；发件人信誉评分新注册域名小于30天自动标记为高风险；URL重写邮件中的URL做时间限制重写过期后不可点击；DMARC策略从p=none升级为p=reject。
2. 端点安全加固
禁用Office宏组策略统一推送；部署Attack Surface Reduction规则阻止Office进程创建子进程和注入其他进程；启用Windows Defender Credential Guard防止LSASS内存中的凭据被读取；配置PowerShell约束语言模式限制脚本执行能力。
3. Active Directory安全加固
域管理员密码改为25位随机字符串使用LAPS管理本地管理员密码；部署Tiered Administration Model Tier0域控Tier1服务器Tier2工作站严格隔离；启用Protected Users组域管理员不允许使用NTLM认证强制Kerberos AES-256；配置Admin Tiering Tier0管理员不能登录Tier2工作站防止凭据窃取。
4. 财务系统专项防护
网银操作电脑物理隔离单台专用电脑不接入互联网仅连接银行专线；U盾集中保管非使用时间锁在保险柜使用时双人授权；银行账户密码加密存储使用BitLocker加密加KeePass密码管理；大额转账电话确认超5万元必须电话核实收款方。
5. 安全意识培训
对全员进行钓鱼邮件识别培训重点针对财务部：每月一次模拟钓鱼演练点击率超10%的部门需追加培训；建立可疑邮件报告流程员工报告可疑邮件给予奖励；与合作方建立沟通确认机制涉及付款的邮件必须电话确认。
成果与反思
应急处置后2周内完成全部加固模拟钓鱼演练点击率从35%降至4%。关键反思：供应链钓鱼是中小企业最常遇到的APT入口攻击者利用信任关系绕过技术防线；邮件安全网关必须具备沙箱detonation能力仅靠签名检测无法防范新型宏漏洞；域管理员密码必须使用LAPS管理且定期轮换手动设置的密码再复杂也可能在泄露库中找到；财务系统的物理隔离是最后一道防线即便内网被攻破物理隔离的网银电脑也无法被远程操控。
不舍昼夜技术提供包头企业网络安全评估加固应急响应服务。技术热线：17704868686，7x24小时响应。
【不舍昼夜技术 · 包头IT一站式服务】
电脑/服务器：重装系统、硬件升级、服务器Linux/Windows环境部署
数据安全：硬盘/U盘/数据库数据恢复、网络安全加固、病毒清理
弱电安防：监控安装、机房建设、综合布线、门禁人脸识别
办公耗材：打印机维修、硒鼓墨盒配送、复印机租赁
软件开发：企业官网、小程序开发、APP定制、ERP系统
服务单位：内蒙古不舍昼夜技术有限公司
业务涵盖：电脑维修/系统重装/数据恢复/监控安防/弱电布线/打印耗材
技术热线：17704868686（包头本地团队，随叫随到！）