文章总结： 文章剖析了eScan遭供应链攻击事件，黑客劫持更新服务器推送恶意补丁，利用UnmanagedPowerShell实现无文件攻击并绕过AMSI，通过伪造更新时间保持隐蔽。文章建议企业采用零信任架构，加强内存监控与EDR部署，严格审计安全软件流量，并提示用户及时应用官方修复补丁。 综合评分： 88 文章分类： 供应链安全,恶意软件,漏洞分析,安全运营

深度拆解 eScan 供应链攻击：如何通过注入 PowerShell 绕过所有安全防线？

原创

Hankzheng Hankzheng

技术修道场

2026年2月4日 07:57 广东

大家好，就在 2026 年 1 月下旬，知名安全软件 eScan 的官方更新服务器被黑客攻陷，原本用来防御病毒的渠道，竟然变成了病毒的分发中心。

这种典型的供应链攻击，最可怕的地方在于：你越是信任安全补丁，死得就越快。

今天，咱们直接拆解这次攻击的技术细节，看看这帮黑客是怎么把防线变成后门的。

一、 祸起萧墙：当更新程序成了“特洛伊木马”

事情发生在 2026 年 1 月 20 日，黑客通过获取 eScan 区域更新服务器的配置权限，在短短两个小时的窗口期内，向全球用户推送了一个“带毒”的补丁。

很多运维兄弟可能觉得，我们内网有防火墙，有杀毒软件，怕什么？但问题是，这次病毒就是杀毒软件自己带进来的。

多阶段（Multi-stage）负载注入

这次攻击采用了极其精密的策略，而不是简单的文件替换：

• 合法进程替换

  攻击者将位于 C:\Program Files (x86)\escan\reload.exe 的合法文件替换成了伪造的恶意版本。

• 环境检测

  病毒运行后会自检，如果发现自己不在预期的安装目录下，会立即退出，以此躲避安全沙箱的自动化分析。

• 伪造签名

  为了迷惑系统，恶意程序带有一个无效但看起来很正规的数字签名。

二、 核心黑产：UnmanagedPowerShell 与 AMSI 绕过

作为 IT 老鸟，你一定对 PowerShell 不陌生。这次黑客的核心武器是基于开源项目 UnmanagedPowerShell 修改的变体。

为什么选择 UnmanagedPowerShell？

传统的 PowerShell 脚本运行很容易被监控。但黑客通过这个工具，可以在任何进程中直接执行 PowerShell 代码，根本不需要调用 powershell.exe，从而实现了“无文件”攻击的特性。

关键技术：AMSI 绕过（Bypass）

为了防止脚本攻击，Windows 有一套 AMSI（反恶意软件扫描接口）。黑客在这次攻击中对源码进行了深度定制，加入了 AMSI Bypass 功能。

简单来说，它在内存中直接修改了 AMSI 的检查逻辑，让后续的所有恶意脚本在系统眼中都变成了“合法代码”。

技术细节：

攻击者通过 Base64 编码分发了三个核心脚本，分别负责： 1. 篡改 eScan 配置，禁止其接收正常补丁。 2. 绕过 AMSI 检查。 3. 进行“受害者验证”，检查机器上是否有卡巴斯基等分析工具，如果有则停止后续动作。

三、 最损的一招：瞒天过海，伪造更新时间

这大概是这次攻击中技术实现最“鸡贼”的地方。为了不让运维人员发现杀毒软件已经失效，黑客部署了一个叫 CONSCTLX.exe 的组件。

它的任务非常简单却致命：修改 Eupdate.ini 配置文件。

它会将杀毒软件的“最后更新时间”强行修改为当前系统时间。这样，即便你的系统已经成了病毒窝点，你打开 eScan 面板一看，居然还显示：“您的病毒库已是最新”。

四、 工程师的思考：我们能学到什么？

这次 eScan 事件再次证明了：没有绝对安全的堡垒。

• 信任边界的崩塌

  传统的“受信任程序白名单”正在失效。我们需要更激进的 零信任（Zero Trust） 架构。

• 内存监控的重要性

  既然黑客可以绕过文件扫描，那么基于行为（Behavioral）的内存监控和端点检测（EDR）就成了最后的防线。

• 内网审计不能省

  哪怕是杀毒软件的流量，也得观察它是否在频繁请求奇怪的外部域名。

目前官方已经发布了清理补丁，如果你的公司正在使用该方案，建议赶紧联系厂商获取修复工具，并检查 hosts 文件是否被篡改。

最后聊聊： 在你的职业生涯中，遇到过最离谱的“安全软件翻车”事件是什么？欢迎在评论区留言吐槽，咱们评论区见！

如果你觉得这篇文章对你有启发，别忘了点个“在看”并转发给你的运维小伙伴。

共同守护服务器安全！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：技术修道场 Hankzheng Hankzheng《深度拆解 eScan 供应链攻击：如何通过注入 PowerShell 绕过所有安全防线？》