ZONE.CI 全球网

本文解析攻击者如何将GPO转化为域内投递通道，涵盖利用错误委派的GPO写权限下发配置、NTLM中继篡改策略路径劫持读取，及gPLink权限链接污染。GPO是权限放大器而非起点。建议蓝队全面盘点GPO与gPLink管理权限，关联AD与SYSVOL日志，应急时须同步清理终端已落地配置，切忌仅回滚策略。

Warlock勒索软件团伙持续利用未打补丁的SharePoint服务器作为突破口，过去两个月已攻击至少4家关键基础设施或公共部门组织。攻击链包括部署webshell、窃取ASP.NETmachinekeys、利用BYOVD关杀软、借道SYSVOL传播勒索载荷，并使用VSCode隧道做远程控制。建议立即修补ToolShell相关漏洞、检查IOC、部署驱动阻止列表，并对异常流量保持敏感。

本文解析攻击者如何将GPO转化为域内投递通道，涵盖利用错误委派的GPO写权限下发配置、NTLM中继篡改策略路径劫持读取，及gPLink权限链接污染。GPO是权限放大器而非起点。建议蓝队全面盘点GPO与gPLink管理权限，关联AD与SYSVOL日志，应急时须同步清理终端已落地配置，切忌仅回滚策略。

Warlock勒索软件团伙持续利用未打补丁的SharePoint服务器作为突破口，过去两个月已攻击至少4家关键基础设施或公共部门组织。攻击链包括部署webshell、窃取ASP.NETmachinekeys、利用BYOVD关杀软、借道SYSVOL传播勒索载荷，并使用VSCode隧道做远程控制。建议立即修补ToolShell相关漏洞、检查IOC、部署驱动阻止列表，并对异常流量保持敏感。

本文解析攻击者如何将GPO转化为域内投递通道，涵盖利用错误委派的GPO写权限下发配置、NTLM中继篡改策略路径劫持读取，及gPLink权限链接污染。GPO是权限放大器而非起点。建议蓝队全面盘点GPO与gPLink管理权限，关联AD与SYSVOL日志，应急时须同步清理终端已落地配置，切忌仅回滚策略。

本文解析攻击者如何将GPO转化为域内投递通道，涵盖利用错误委派的GPO写权限下发配置、NTLM中继篡改策略路径劫持读取，及gPLink权限链接污染。GPO是权限放大器而非起点。建议蓝队全面盘点GPO与gPLink管理权限，关联AD与SYSVOL日志，应急时须同步清理终端已落地配置，切忌仅回滚策略。

本文解析攻击者如何将GPO转化为域内投递通道，涵盖利用错误委派的GPO写权限下发配置、NTLM中继篡改策略路径劫持读取，及gPLink权限链接污染。GPO是权限放大器而非起点。建议蓝队全面盘点GPO与gPLink管理权限，关联AD与SYSVOL日志，应急时须同步清理终端已落地配置，切忌仅回滚策略。

该事件中攻击者利用泄露的域账号凭证接入VPN获取域管理员权限，通过创建恶意组策略对象（GPO）破坏整个Windows域，全程无文件加密和恶意软件，规避传统检测。攻击者还窃取数据并发布到暗网。处置需删除恶意GPO、恢复策略、轮换凭证并重置krbtgt账户，检测重点在活动目录与sysvol共享目录。

该文档报道了一种新型勒索软件攻击手法，攻击者利用ActiveDirectory组策略对象(GPO)劫持整个Windows域，无需加密文件或部署恶意二进制文件。攻击者通过被盗凭证访问FortiGateSSLVPN，创建恶意GPO链接到域根，传播勒索图片、禁用防火墙并锁定管理员账户，同时窃取数据。卡巴斯基建议监控AD变更事件并加强防御措施。

文章总结： 该文档报道了一种新型勒索软件攻击手法，攻击者利用ActiveDirectory组策略对象(GPO)劫持整个Windows域，无需加密文件或部署恶意二

文章总结： 该事件分析勒索软件利用活动目录组策略破坏Windows域的攻击手法，攻击者通过泄露凭证接入VPN获取域管理员权限，创建恶意GPO禁用防火墙、修改壁纸

文章总结： 该事件中攻击者利用泄露的域账号凭证接入VPN获取域管理员权限，通过创建恶意组策略对象（GPO）破坏整个Windows域，全程无文件加密和恶意软件，规

文章总结： 本文解析攻击者如何将GPO转化为域内投递通道，涵盖利用错误委派的GPO写权限下发配置、NTLM中继篡改策略路径劫持读取，及gPLink权限链接污染。

文章总结： 本文解析攻击者如何将GPO转化为域内投递通道，涵盖利用错误委派的GPO写权限下发配置、NTLM中继篡改策略路径劫持读取，及gPLink权限链接污染。