【预警】间谍木马LokiBot再获新技能“隐身术”( 二 )_近日

l 一个标有'package.json'的包

执行后，该文档立即显示一个Microsoft Excel工作表，然后会继续执行嵌入在工作表中的VBS宏代码，其执行流行如下:

通过分析，安全专家发现发件人IP地址与发件人域不匹配，所以发件人极有可能伪装成合法的帐户。该电子邮件很可能是从僵尸网络或感染恶意软件的受害者机器发送的。

隐藏在图像中的代码

亚信安全还截获了LokiBot变种文件，其通过包含恶意RTF格式(RTF)文件附件的垃圾邮件传播，RTF文件包含嵌入的EXCE OLE对象，其使用Windows Management Instrumentation (WMI)和PowerShell来下载和执行恶意软件。

执行后，其会生成%Temp%\ [filename] .exe 以及%temp%\ [filename] .jpg 文件，jpg文件可以被正常打开，如下图所示，但是它包含了LokiBot解压缩过中引用的数据。

【预警】间谍木马LokiBot再获新技能“隐身术”( 二 )