场景：2026年8月，某跨境电商企业。SOC监测到内部SCRM系统服务器异常外联，经研判系攻击者利用BitBrowser浏览器0day漏洞（CVE-2026-85046）发起供应链攻击，目标为窃取电商客户数据。
攻击 / 事件时间线
初始入侵（供应链投毒）
攻击者事先攻陷某SCRM软件更新服务器，将恶意代码植入软件更新包。当企业SCRM客户端自动更新时，恶意载荷随之分发。同时，攻击者利用BitBrowser（基于Chromium的指纹浏览器）的V8类型混淆漏洞（CVE-2026-85046）作为二次触发点，在浏览器渲染进程执行shellcode，下载第二阶段恶意载荷SNOWLIGHT。
CVE-2026-85046SNOWLIGHT
权限维持与侦察
SNOWLIGHT作为内存DLL注入到合法SCRM进程，规避静态查杀。其通过注册表计划任务实现持久化（每隔4小时回连C2）。随后，攻击者利用SCRM系统自身的API接口，以内网合法身份进行侦察，枚举域内SQL Server数据库连接字符串，定位存储有客户订单数据的核心库。
SNOWLIGHT计划任务PowerShell
数据窃取与痕迹清理
攻击者通过SQL Server的xp_cmdshell扩展存储过程，创建仅具有SELECT权限的临时账号，并通过ODBC驱动将客户姓名、电话、地址等敏感字段分批导出至临时CSV文件。数据经压缩加密后，伪装为正常业务流量（HTTPS POST请求）回传至C2服务器。最后，攻击者删除所有临时文件并清除PowerShell控制台历史记录。
xp_cmdshellODBCHTTPS隧道
蓝队视角 · 发现与处置
SOC值班人员通过流量分析平台发现该SCRM服务器在凌晨2点至4点间存在异常的HTTPS外连流量，且目的IP归属地异常。研判人员立即提取该主机内存样本，通过YARA规则匹配到SNOWLIGHT恶意代码特征。随后，在EDR平台隔离受害主机，并通过防火墙封禁C2 IP。通过分析DNS日志与进程树，溯源到恶意代码源自软件更新包，遂紧急下发全网SCRM客户端升级阻断指令。
涉及关键技术 / 工具
内存DLL注入规避检测0day漏洞（CVE-2026-85046）利用基于YARA规则的内存取证
防护经验总结
- 对SCRM、ERP等关键业务系统实施严格的更新包校验机制，部署软件组成分析（SCA）工具，对更新文件进行沙箱动态行为检测。
- 在数据库层面禁用或严格限制xp_cmdshell等高风险扩展存储过程，并对数据库账号实行最小权限原则，定期审计异常账号。
- 在SOC侧建立针对业务系统外联的异常检测模型，重点监控凌晨时段、大流量、非标准端口的外连行为，并配置EDR的内存扫描策略。
#供应链攻击#0day漏洞#SCRM#内存马#数据窃取