域控被攻陷导致全网加密

域控沦陷是勒索事件里破坏最彻底的形态。原因在于攻击者不再需要「突破」每一台主机——他拿到的是合法的管理凭据，可以用管理员本该使用的工具（组策略、PsExec、WMI、SCCM、远程计划任务）把加密器分发到全网，速度极快、覆盖极全，而且行为在日志里看起来像正常运维。

典型攻击链是这样的：从暴露的 RDP、VPN、Web 应用漏洞或钓鱼邮件拿到一个初始立足点 → 本地提权、抓取内存中的凭据 → 横向移动寻找高权限账号 → 通过 DCSync 或直接导出 NTDS.dit 获取全域哈希 → 取得域管理员权限 → 先删备份、停杀软、清日志，再全网投毒。公开案例中，攻击者也会通过社会工程（冒充员工致电服务台要求重置口令）绕过技术防线，直接获得账号。

这类事件有三个特别之处：

• 恢复必须从身份层开始。 数据可以从备份恢复，但如果 Active Directory 本身不干净、凭据未全量重置，恢复出来的系统会立刻被重新加密。先恢复身份，再恢复数据，顺序不能颠倒。
• 「清理」还是「重建」是必须做的判断。 如果攻击者取得了域管理员权限并可能导出过 NTDS.dit，理论上他掌握了所有账号的凭据材料（包括 krbtgt），此时仅靠改密码难以保证彻底清除，需要严肃评估全域重建或至少两次 krbtgt 轮换等措施。
• 备份体系大概率同时失守。 备份服务器若在域内、用域管理员账号运行作业，攻击者会顺手把它处理掉。

误操作提醒：在未评估的情况下直接把域控从备份还原并接回网络、只改一次密码就宣布安全、恢复终端时沿用原有域凭据。我们不建议支付赎金，也不提供代谈判服务。

• 实行分层管理模型。 域管理员账号绝不登录普通终端与服务器，管理操作在专用管理工作站（PAW）上进行；日常办公账号与特权账号严格分离。
• 特权账号强认证。 所有管理员账号启用多因素认证，限制可登录范围与时间，定期审计 Domain Admins、Enterprise Admins 等高权限组的成员。
• 抑制横向移动。 终端之间默认禁止 SMB / RDP 互访，本地管理员口令随机化（LAPS 类方案），限制 WinRM / WMI 远程执行来源，启用网络分段与主机防火墙。
• 保护凭据。 开启 Credential Guard、禁用不必要的 WDigest、限制可被委派的账号、监控 DCSync 特征的目录复制请求与异常的 Kerberos 票据申请。
• 服务台流程也要防。 公开案例中，攻击者通过冒充员工致电服务台要求重置口令绕过了技术防线；口令重置与 MFA 解绑必须有可靠的身份核验流程。
• 备份体系脱离域。 备份服务器不加域、独立凭据、独立网络，启用不可变备份并保留离线副本；域控的系统状态备份要单独离线保存，这是森林恢复的前提。
• EDR 全覆盖并开启防篡改。 重点监控组策略异常变更、SYSVOL 新增可执行文件、批量远程执行、卷影删除、杀软被卸载——这些是全网投毒前的最后信号。
• 做 AD 恢复演练。 每年至少一次在隔离环境演练森林恢复流程，验证备份可用性与操作熟练度；等到真出事再第一次做，代价极高。