过去，供应链攻击的套路很简单：把恶意代码塞进安装包，用户一装就中招。但这次，攻击者玩出了新花样。我们在对SCRM安装包审计时，并没有发现内置恶意代码——安装包是干净的，但用户运行后，软件会通过官方公告接口从云端拉取指令，动态下发恶意模块。这就像你买了一瓶密封完好的矿泉水，但瓶盖上的二维码被调包了，扫码后跳转到钓鱼网站。

攻击链大致如下：

这种“官方接口供应链+RCE组合”的攻击方式，隐蔽性极强——安装包签名正常、代码审计无异常，传统安全软件很难拦截。

本次事件中，受影响的主要是BitBrowser（虚拟手机服务商）和SCRM软件，用户多为跨境电商从业者。攻击者为何盯上这个群体？

• 资金流密集：跨境电商涉及大量交易、支付和客户数据，黑产变现路径短。
• 多账号运营：商家常使用虚拟手机号、多开浏览器管理店铺，攻击者可借此窃取店铺凭证、客户名单。
• 供应链复杂：从ERP到SCRM，第三方工具层层嵌套，任何一个环节失守都可能“火烧连营”。

今年已监测到十余起国产软件供应链攻击事件，攻击者涵盖高端黑产与新兴APT组织。部分非政治目的的供应链攻击甚至已向开源社区披露。这说明：供应链攻击正在从“国家博弈”下沉到“经济犯罪”，普通商家也可能成为目标。

面对这种“安装包干净、云端投毒”的攻击，传统的“下载后杀毒”策略几乎失效。我们需要升级防御思路：

此外，虚拟机检测是恶意样本的常见对抗手段。安全人员在分析样本时，需使用反虚拟机检测的沙箱环境，否则样本会“装死”退出。

某跨境电商卖家从“官方渠道”下载了某SCRM客户端，安装包数字签名正常，杀毒软件无报警。使用一周后，店铺后台频繁出现异常登录，客户名单被批量导出。事后分析发现：攻击者替换了官网下载链接中的自解压文件，解包后释放正常安装包和一个恶意Dropper。Dropper运行后检测到虚拟机环境即退出，在真实主机上则通过ASAR漏洞调用云端接口，下发CrossHatch特马，窃取浏览器Cookie和店铺凭证。整个过程中，安装包本身“干净”，恶意行为全部在云端触发。