背景

XDR平台检出客户内网存在AutoCAD蠕虫病毒

操作1

点击查看故事线详情，发现AutoCAD软件进程acad.exe调用了wscript.exe执行可疑vbs脚本

结合威胁情报确认这是AutoCAD蠕虫病毒释放的脚本文件，该终端感染了AutoCAD蠕虫病毒。

安全事件分析

继续查看acad.exe进程的举证信息，发现其加载了名为“220395快.dwg”的病毒CAD文件，导致其执行恶意命令。

那么这个病毒CAD文件是从哪来的呢，我们沿着进程链往上溯源，发现了是outlook.exe创建的220395.dwg文件，结合路径判断，该AutoCAD蠕虫病毒大概率是通过邮件附件传播进来的。