在收到这封神秘电子邮件的前几天，公司HR在小组中发送了一条消息，说它收到了一封非常可疑的简历电子邮件。重复进行公司的信息安全意识培训并非徒劳。我们的女士HR可以拥有如此敏锐的意识，我们必须竖起大拇指！最近，该部门确实在招聘人员，并进行了大量的招聘促进。每天都会收到很多简历电子邮件，但是这封电子邮件显示出一些怪异之处。电子邮件正文中没有任何信息，只有一个附件：resume.pdf。首先，普通人提交简历。我们为什么要简要地介绍自己在体内？谁会这样把它留空？其次，附件简历的文件名通常包含诸如位置和名称之类的信息，对吗？就像小小的L-Security R＆amp; D Engineer-Resume.pdf，谁会称其为“ Resume”？沙箱分析得到了这个pdf文件，不要着急打开它，将其放入虚拟机沙箱中，看看它是否可以显示其原始形状。打开pdf文件时，一切看起来都很正常。它看起来确实像一个真实的简历。甚至申请人的需求都得到了满足。但是，经过验证，发现联系方式都是虚构的，简历内容基本上是从互联网上获得的。拼凑而成的小说。让我们再次查看样本的行为分析，以查看是否存在任何可疑行为。搞什么鬼！我不知道，这个人实际上将程序发布到了临时文件夹中，然后执行了！我去了临时文件夹并试图找到该文件，但是发现该文件不见了：看来这个家伙有点能力！我临时编写了一个脚本，该脚本在虚拟机的后台运行，并不断检查备份临时文件夹中的文件。我再次运行示例文件，最后捕获了已发布的exe。反向分析然后将其发送到拆卸工件IDA中，剥去这家伙的内衣。打开它，看看吧，好朋友，我会叫你好朋友！我不添加外壳程序或任何东西，我只是裸奔，甚至没有打开基本指令优化。这并没有给我带来颠倒的感觉。很快，我发现了一个有趣的地方：该产品正在遍历文件目录，就像在搜索某些内容一样。查找文件被过滤的位置，这里是一个数组，遍历以查找数组的内容。接下来，看看过滤后的弦，高能量来了！ ！ ！实际在寻找简历，报价和工程师关键字文档！ ！ ！这是什么样的表演操作？背后有一段逻辑，那就是检查文件的MD5，以防止他人的“ resume.pdf”从成为目标。获取文件后，请回头看一看，代码太慢而无法找到，我们将其放在沙箱中以捕获行为。再次将此exe发送到沙箱中进行分析，然后查看网络请求。遗憾的是，未找到任何网络请求。猜测未获得目标文件，因此未传输目标文件？因此，我构造了一个虚假的Java R＆amp; D工程师.pdf文件进行钓鱼。再次，正如所料，这条鱼被钩住了，这次捕获了一个网络请求：一个神秘的域名DNS解析！仅限于沙箱的隔离环境，此请求实际上并未成功执行，因此没有对该域名的后续请求。不幸的是，该域名现已关闭，无法访问。难道是别人首先发现了它吗？恢复案件的全景图已经浮出水面：HR的邮箱收到了“ Resume.pdf”。包含特洛伊木马的文件。打开文件后，将释放并执行特洛伊木马程序xxx.exe（随机名称）。然后，木马会遍历磁盘目录，在文件名中查找带有resume，offer和engineer这三个关键字的文件。获取文件后，将通过网络请求将文件发送出去！到底谁会做这样的事？仔细想想！