某单位僵尸木马病毒攻击链全景分析还是接着上篇溯源博客进行进一步深入排查发现在过去一段时间里某单位外网面对了一场隐蔽而持续的内部网络安全威胁。攻击者自2025年5月起潜伏于内网发起了一系列针对关键服务器的、有组织的横向渗透尝试。最初这些分散的失败登录日志如同迷雾中的孤点难以拼凑出全貌。然而通过我对长达数月安全日志的坚持不懈的关联分析、严谨的逻辑推理和果断的假设验证这团迷雾已被彻底驱散。今天我无比激动且确信已经成功地将攻击者的完整行动链条清晰地绘制出来。此次溯源的清晰程度不仅精准定位了每一阶段的攻击源头与跳板更深刻揭示了攻击者的战术意图与演进模式为我们实施精准遏制、根除威胁并加固防线奠定了决定性基础。我已根据全部日志证据重新整合并绘制了下面这份更完整、清晰的内网横向攻击链分析全景图。 内网横向攻击链全景分析图服务器网段 192.168.3.0/24攻击核心目标区办公网段 192.168.1.0/24攻击者初始立足点“1. 2025年5月29日首轮NTLM爆破 (事件4625)”“可能关联路径推测”“2. 2025年9月至10月作为跳板使用多个变动的本网段IP(.3.18/.29/.37等)进行高频爆破”“3. 2025年10月20日攻击源IP固定于192.168.3.26攻击行为模式化”攻击阶段示意“阶段一: 初始入侵”“阶段二: 横向扩散高频试探”“阶段三: 攻击升级与稳定控制”已失陷主机PC-20241216MMMNIP: 192.168.1.149最早攻击源待核实主机IP: 192.168.1.128日志始于2025.9.25可能为新控制节点第一阶段目标 后续攻击跳板SKY-20221112L01第二阶段持续攻击目标SKY-20240305VYU 各攻击阶段详细说明阶段时间范围攻击源目标关键动作与证据攻击者意图与状态推断阶段一初始入侵2025年5月PC-20241216MMMN(192.168.1.149)SKY-20221112L01使用NTLM协议对Administrator账户进行网络登录(类型3)爆破。状态码0xC000006E(用户名或密码错误)。攻击者已控制一台内网办公主机并尝试突破至服务器区。这是所有后续攻击的起点。阶段二横向扩散与高频试探2025年9月至10月中旬SKY-20221112L01(IP变动: .3.18, .3.29, .3.37, .3.49等)SKY-20240305VYU攻击源变为首台服务器自身使用其所在网段的多个不同IP持续对第二台服务器的Administrator账户进行爆破。核心判断SKY-20221112L01已失陷沦为“跳板”。攻击者可能在进行密码喷射以避免账户锁定或利用服务器多网卡特性变换源IP。阶段三攻击升级与稳定控制2025年10月下旬SKY-20221112L01(IP固定: 192.168.3.26)SKY-20240305VYU攻击持续但攻击源IP固定化。攻击者可能已建立更稳定、隐蔽的控制通道如后门、计划任务或已获取有效凭据攻击行为从“试探”转为“稳定维持”。关联节点(待核实)始于2025.9.25192.168.1.128(新/重装主机)未知该主机日志不全未见相关4625事件。可能性1攻击者控制的新跳板。可能性2原有失陷主机(1.149)重装系统后再次被侵。无4625事件说明攻击者可能使用漏洞、木马或窃取的合法凭证横向移动隐蔽性更高。 综合结论与行动核心攻击定性这是一起典型的、具有APT特征的内网横向渗透攻击。攻击者表现出明确的战略耐心采用“渐进式”打法逐步扩大控制范围。当前威胁服务器SKY-20221112L01已被确认为失陷跳板是内网中最大的威胁源。攻击者对SKY-20240305VYU的威胁仍持续存在。必须立即执行的行动紧急隔离立即断开SKY-20221112L01、PC-20241216MMMN及192.168.1.128的网络。重点取证对SKY-20221112L01进行硬盘和内存镜像深度排查持久化后门。全网排查以SKY-20221112L01为源在全网范围尤其服务器区检索所有4624成功登录和4625事件。密码重置重置所有相关服务器的高权限账户密码。