场景：2026年9月，某跨境电商企业SOC在例行威胁狩猎中，发现一台办公终端持续向罕见域名发起DNS查询，流量隐蔽且周期规律，疑似C2心跳。
攻击 / 事件时间线
初始访问
攻击者通过钓鱼邮件投递伪装成“跨境物流通知”的LNK文件，利用mshta.exe远程加载HTA脚本，内存中解密并执行SNOWLIGHT下载器。该下载器通过DGA生成域名，向攻击端请求下一阶段载荷，全程无文件落地。
LNKmshtaSNOWLIGHT
提权与持久化
载荷利用Windows Print Spooler漏洞（CVE-2026-XXXX）本地提权至SYSTEM，随后通过schtasks创建伪装成“Adobe更新”的计划任务，每5分钟检查一次C2指令，同时写入注册表Run键实现双持久化。
PrintSpooferschtasksreg
C2通信与横向
木马通过DNS TXT记录与C2服务器通信，将指令编码在子域名中，响应数据藏于TXT记录。攻击者利用该通道下发Mimikatz抓取凭据，并尝试使用SMB协议横向移动至同网段文件服务器，但被EDR拦截。
DNS TXT隧道MimikatzSMB
溯源与反制
蓝队通过DNS日志聚类分析，发现同一终端每5分钟查询一次随机子域，且TXT记录响应长度异常。结合Sysmon日志中mshta.exe的父进程为explorer.exe，定位到恶意LNK。随后提取内存镜像，还原出SNOWLIGHT的DGA算法，并封禁相关域名。
SysmonVolatilityYARA
蓝队视角 · 发现与处置
SOC值班人员首先注意到DNS查询频率异常，利用Zeek日志绘制域名访问基线，发现该终端查询的域名均指向同一IP且TTL极短。进一步分析TXT记录，解码出Base64指令，确认为C2通道。通过EDR隔离主机，并下发YARA规则扫描全网，发现另外两台同源感染主机。最终在72小时内完成清除与漏洞修复。
涉及关键技术 / 工具
DNS TXT隧道PrintSpoofer提权SNOWLIGHT DGA算法
防护经验总结
- 部署DNS流量审计设备，对TXT记录长度超过200字节的响应告警，并建立域名信誉库。
- 禁用
mshta.exe执行远程脚本，通过AppLocker限制LNK文件从邮件附件直接运行。 - 定期使用YARA规则扫描内存中的无文件攻击特征，重点监控
explorer.exe子进程异常。
#DNS隧道#C2狩猎#供应链攻击