1

初始访问

攻击者并未直接攻击券商边界，而是瞄准其合作的客户关系管理（CRM）系统供应商。通过社工手段获取供应商一名运维人员的VPN凭证，利用该VPN进入供应商内网。随后，攻击者扫描发现供应商与券商之间维护用的SSH隧道，利用弱口令（admin/123456）成功登录隧道跳板机，完成从供应商到券商网络的横向跳跃。整个过程中，券商侧防火墙未对来自“可信供应商”的SSH连接做深度检测。

2

权限维持与数据收集

进入券商DMZ区后，攻击者部署了经过混淆的Cobalt Strike Beacon，配置了域前置（Domain Fronting）技术，将C2流量伪装成对阿里云OSS的正常HTTPS请求，成功绕过券商出口流量检测设备。随后，攻击者使用SharpHound对AD环境进行信息收集，发现一名SQL Server服务账户拥有对文件服务器的读写权限。通过窃取该账户的NTLM Hash，攻击者直接登录文件服务器，打包了包含客户KYC资料的Excel文件（约12GB），并通过分卷压缩、加密后，利用合法的rclone工具同步至攻击者控制的海外云存储。

3

告警触发与应急响应

数据泄露发生3小时后，券商SOC的UEBA平台触发告警：文件服务器在非工作时段出现异常的大规模文件读取行为，且目标账号为从未在该服务器上出现过的SQL服务账户。同时，Sysmon日志显示该服务器上出现了非标准进程rclone.exe。安全分析师立即研判为数据泄露事件，手动阻断该服务器所有出站连接，并提取进程内存镜像和网络流量PCAP包。