该垂钓网站被专门规划成外交部的登录页面(mail.mfa.gov.cn)，很有或许是克隆了原始页面。 它与以下网站相似，并与此进犯系列中标识的子域共同。 这些垂钓网站的意图好像是盗取外交部(MFA)的电子邮件凭据。 一旦用户输入了凭据，就会看到图2中的音讯。 terra.net.lb2019年5月26日，国内某打车软件途径发布公告称其服务器遭受接连进犯，服务器内中心数据被加密，进犯者索要巨额比特币。 该公司严峻斥责该不法行为，并向公安机关报警。 server_name = SySlog/SIEM服务器的IP地址或主机名近期，百度安全实验室反高档要挟团队截获多封使用Microsoft Office Word缝隙进行进犯的歹意邮件。 2

在用户启用宏后，就开端一个多阶段的感染链，终究下载并履行Cobalt Strike信标，为进犯者供给在方针安排内的立足点。