场景：2026年9月，某企业安全团队在对SCRM客户端进行例行供应链审计时，发现安装包无内置恶意代码，但云端下发的ASAR模块存在两个可RCE的接口。攻击者疑似利用官方公告接口下发CrossHatch特马，针对特定目标发起定向攻击。
攻击 / 事件时间线
初始访问：供应链投毒
攻击者通过SCRM官方公告接口下发恶意配置，利用客户端自动更新机制将恶意ASAR模块推送至目标终端。安装包本身无恶意代码，绕过静态扫描。恶意模块加载后创建新线程，首先检测虚拟机环境（通过CPUID、注册表、MAC地址等多维度判断），检测到则退出，否则访问文本托管网站snippet.host获取后续组件下载链接。
snippet.hostASAR模块官方公告接口
漏洞利用：ASAR接口RCE
对ASAR进行逆向审计，发现两个暴露的RCE接口：一个通过child_process.exec未过滤参数拼接执行系统命令；另一个通过eval动态执行远程返回的JavaScript代码。攻击者构造恶意请求，通过公告接口下发含恶意载荷的配置，触发RCE后下载CrossHatch特马并注入合法进程。
child_process.execevalCrossHatch特马
命令控制：C2通信
CrossHatch特马启动后，通过DNS隧道与C2服务器通信，将数据编码为DNS查询子域名（如base64.data.c2.evil.com），规避传统流量检测。同时使用HTTPS备用通道，证书指纹与已知恶意基础设施匹配。特马还通过计划任务实现持久化，并利用WMI事件订阅监控用户登录行为。
DNS隧道HTTPS C2WMI事件订阅计划任务
横向移动与数据窃取
攻击者利用已控终端上的域用户凭据，通过SMB协议横向移动至文件服务器和数据库服务器。使用Mimikatz抓取内存中的明文密码和哈希，通过PsExec远程执行命令。最终将敏感客户数据压缩加密后，通过DNS隧道分片外传至C2服务器。
MimikatzPsExecSMBDNS隧道
蓝队视角 · 发现与处置
SOC团队通过EDR告警发现异常：某终端上SCRM进程调用了child_process.exec执行了powershell -enc编码命令，且随后出现大量DNS查询请求，子域名长度异常且包含Base64编码特征。蓝队立即隔离该终端，提取内存镜像和ASAR模块进行逆向分析，确认RCE漏洞和CrossHatch特马。通过DNS日志回溯，发现同一C2域名的其他查询记录，定位到另外两台失陷主机。随后封禁C2域名和IP，重置相关域用户凭据，并紧急联系SCRM厂商修复ASAR接口漏洞。
涉及关键技术 / 工具
ASAR模块逆向与RCE接口挖掘（child_process.exec参数注入、eval动态执行）DNS隧道C2通信检测（异常子域名长度、Base64编码特征、高频查询）内存取证与Mimikatz痕迹分析（LSASS进程访问、凭据抓取行为）
防护经验总结
- 对SCRM等客户端供应链组件实施ASAR完整性校验，启用代码签名验证，禁止未签名模块加载；对云端下发配置实施白名单和签名机制。
- 部署DNS安全监控，对异常子域名长度（>50字符）、高频查询（>100次/分钟）、Base64/Hex编码特征进行告警；限制终端DNS查询仅走内部解析器。
- 在终端启用Credential Guard和LSA保护，防止Mimikatz抓取明文凭据；对域管账户实施分层管理和凭据轮换，限制SMB横向移动。
#供应链攻击#RCE#DNS隧道#CrossHatch#SCRM