近日瑞星威胁情报平台捕获到一款名为PDFClick的流氓软件，该软件为魔改的PyInstaller打包的EXE文件，其运行行为具有明显的条件判断逻辑：若检测到系统已安装Chrome浏览器，则自动下载更新程序并添加计划任务以实现持久化驻留；若未检测到Chrome浏览器，则跳过下载步骤。更新程序会进一步判断当前进程是否在64位模式下运行，并通过多种方式加载从服务端回传的加密数据。
值得注意的是，该软件官网宣称其功能为“本地处理所有文件”，但通过技术分析发现，其实际文件处理逻辑为将用户文件上传至远程服务器进行处理，这一行为与官网描述存在显著矛盾，表明其可能存在数据泄露或恶意操作风险。
近日瑞星威胁情报平台捕获到一起利用合法游戏平台Steam传播恶意软件的攻击事件，攻击者将高度定制化的信息窃取工具StealC木马伪装成Steam平台热门游戏BlockBlasters的官方补丁进行分发，该木马通过多层脚本加载技术绕过安全检测，最终解压并运行StealC木马。StealC木马是一种高度定制化的信息窃取恶意软件，其核心威胁在于广泛窃取浏览器存储的密码、Cookie、自动填充数据及加密货币钱包私钥，并支持按攻击者需求定向窃取特定文件类型。
近日 瑞星威胁情报平台 捕获到一起银狐木马的攻击事件，由于该样本存在较多对抗杀毒软件及EDR的手段，故此针对此次捕获的样本进行分析说明。
银狐木马主要通过钓鱼网页、即时通讯软件、下载站伪装成常用软件供用户下载等方式进行传播，通过钓鱼、即时通讯软件传播的木马文件名称通常包含发票、税务、补贴、通知、薪资等极具诱导性的字眼，以诱导用户打开，木马运行后会联网下载真正的木马病毒，进而攻击者利用远控木马监控用户日常操作，获取隐私信息等。
瑞星威胁情报平台近期捕获到Patchwork组织针对国内科教领域及土耳其国防领域的多起定向攻击。攻击者以伪装成PDF文档的快捷方式（.lnk）作为初始载荷，通过混淆的PowerShell命令从远程服务器下载诱饵文档与多个恶意程序，然后利用计划任务实现本地持久化。下载到本地的执行文件会解密出由开源工具Donut生成的ShellCode并最终运行NorthStarC2及BADNEWS远程控制木马。
Patchwork组织，又名摩诃草、白象、APT-Q-36、Dropping Elephant，是一个疑似具有南亚某政府背景的APT组织，其最早攻击活动可追溯到2009年，至今依然活跃。该组织主要针对中国、巴基斯坦、孟加拉国等亚洲地区国家，以政府、军事、电力、工业、科研教育、外交和经济等高价值机构为攻击目标。