写在前面 员工修改了泄露密码，企业就安全了吗？ 不一定。密码只是攻击者已经拿到手的一部分数据。真正需要回答的还有三个问题：密码从哪台电脑泄露？电脑里是否仍有恶意组件？已经泄露的登录会话是否还能继续使用？ 近期，思而听江鹭威胁情报中心监测到某制造企业多条账号凭据泄露记录。客户收到预警后，修改了部分业务系统口令，并临时禁用了公共邮箱。我们没有停在这一步，而是继续追踪消息源、下载窃密日志包并开展上机取证，最终定位到该企业海外分公司的一台个人Windows 11电脑。 调查确认，这不是一次简单的账号撞库。该主机遭遇了Vidar信息窃取木马，419条浏览器明文凭据和3,860条Cookie被打包外流。更早之前，一套恶意加载器已经在主机上驻留50余天。窃密发生时，用户正在正常使用浏览器，没有需要其确认的弹窗。 阅读说明：本文基于一起授权溯源事件复盘。客户名称、员工姓名、账号、真实域名、主机名、IP地址