用途：调查供应链攻击产生的恶意产物，包括被木马化的软件更新、受污染的构建流水线和被侧加载的依赖，从而定位入侵并还原感染链。资料提到 SolarWinds SUNBURST（2020，影响 18000+ 客户）、3CX SmoothOperator（2023，源自 Trading Technologies 的级联供应链攻击）以及多起 npm/PyPI 包投毒事件，并称截至 2025 年供应链攻击占所有泄露事件的 30%。
时机：用于需要分析供应链恶意产物的安全事件；构建该领域的检测规则或威胁狩猎查询；SOC 分析师需要结构化流程；验证相关攻击技术的监控覆盖。
前置条件：Python 3.9+ 及 pefile、ssdeep、hashlib；二进制 diff 工具（BinDiff、Diaphora）；代码签名验证工具（sigcheck、codesign）；软件成分分析（SCA）工具；可访问合法软件版本用于对比；包仓库监控（npm、PyPI、NuGet）。
工作流：核心是二进制对比，比较合法与可疑 PE 文件，输出差异、可疑节区和导入变化。示例脚本对比节区大小与熵、找出新增节区、检测节区大小变动（差值大于 1024 字节即记录）、比较导入表新增项，并检查是否具备代码签名；另提供对文件计算 md5、sha1、sha256 的 hash_file 函数。运行方式为 python 脚本 <legitimate_binary> <suspect_binary>，未提供参数时打印用法并退出。
验证标准：通过二进制 diff 识别被木马化组件；隔离并单独分析注入代码；记录代码签名异常；从构建产物重建感染时间线；评估下游受影响系统范围；提取 IOC 用于检测与阻断。
限制：资料未提供除上述脚本以外的具体命令、工具调用细节、实现步骤或误报处理方式；仅给出参考出处与 MITRE ATT&CK T1195 映射，其他能力暂未提供。