咱们剖析了这个新的Emotet举动的运作状况，该举动运用Microsoft Office文件躲藏其歹意行为，影响了拉丁美洲的多个国家。
11月，咱们发布了关于正在用于传达Emotet的大型新垃圾邮件举动的正告。考虑到该举动一些拉丁美洲国家的进犯规划，以及在曩昔几天收到的很多相关问询，咱们决议发布一份关于这一传达活动怎么运作的扼要阐明。
近年来，咱们现已看到 *** 犯罪分子经过各种方式运用Microsoft Office套件来传达要挟，从嵌入文件的简略宏到缝隙运用。可是，在本事例中，完结有点不寻常，它包括一个合并到Office文件中的下载程序。这引起了许多用户的困惑，他们要求咱们解说其作业原理。
传达始于一封电子邮件，没有任何特别之处。如图1所示，它简直便是咱们习气在这些进犯系列中看到的那种电子邮件。

图1  – 来自此Emotet进犯系列的一个典型电子邮件
正如咱们所料，假如用户决议下载电子邮件附件并打开文档，则会要求他们启用宏。相同，通常状况下，会供给一些这样做的理由。图2显现，在此景象下暗示这是必要的，由于文档是运用Office 365创立的，但实际上它能够履行文件中嵌入的函数。

图2  – 启用宏的恳求
明显，这种行为是歹意的。可是， *** 犯罪分子在此举动中运用的技巧有几个不同寻常的特征。假如挑选检查宏，会发现它不是很大，乍一看，它好像不是那些测验连接到网站下载某些内容的已知宏之一。

图3  – 文档中反常紧凑的VBA宏代码
细心看一下这个宏，很清楚的是它的功用是从一个目标中读取文本。可是目标在哪里？搜索之后，事实证明页面中有一个很难发觉的目标。假如细心观察图2中页面的左上角，就会看到一个看起来十分小的方形实心黑盒子。假如点开它，就能够看到包括的内容。

图4  – 打开页面中的细小目标显现其内容
实际上，此文本框包括一个“cmd”指令，该指令发动PowerShell脚本，该脚本测验连接到五个站点，然后下载有效载荷，在本事例中有效载荷是混杂后的Emotet变体。
正如在之前的帖子中所评论的那样，一旦履行有效载荷，就会在核算机上树立持久性并将其成功报告给C&C服务器。完结初始感染后，会进一步下载，装置进犯模块和辅佐载荷，这些载荷在受感染的核算机上履行其他类型的操作。
各种附加模块扩展了危及用户设备的歹意活动范围，以便盗取凭据、在 *** 上传达自己、搜集灵敏信息、履行端口转发以及许多其他功用。
尽管这根本不是一种新技能，可是Emotet将其行为躲藏在Word文件中的这种细小改变标明，在躲藏歹意活动并企图损坏用户信息时， *** 犯罪分子十分奸刁。深化了解他们或许运用的各种技能，会让防御者在辨认这些歹意活动方面更具优势。