瑞星威胁情报平台于近期捕获到一起针对国内高校的攻击事件，攻击者使用伪装成pdf文档的快捷方式作为钓鱼文档，当用户双击钓鱼文档时，会执行内置的PowerShell命令，从远程的服务器下载诱饵文档和恶意程序，接着创建计划任务实现恶意程序的持久化，恶意程序会从服务器上下载并执行开源工具Donut生成的ShellCode，ShellCode会解密出最终的NorthStarC2后门。此次攻击事件和我们在去年12月发布的Patchwork组织针对我国的新能源行业的攻击事件具有高度的相似性，因此将本次捕获到的攻击行动归属于Patchwork组织。
瑞星威胁情报平台捕获到近期针对国内的攻击事件。攻击者通过邮件发送给目标机构钓鱼文档。当用户双击文档执行宏代码后，会在释放出一个窃密的木马，该木马会获取指定的目录下后缀名为pdf、doc、docx、xlsx、xls、ppt、pptx、zip的文件，把获取到的文件加密之后发送到服务器。通过对比其域名特点和窃密手法，发现和SideWinder组织具有高度相似性，因此将本次捕获到的攻击行动归属于SideWinder组织。
瑞星威胁情报于2024年2月捕获一起疑似针对白俄罗斯的攻击事件，攻击者向受害者投递带恶意附件的钓鱼邮件进行攻击，恶意附件是个DOCX文档，DOCX文档内被注入了恶意链接，恶意链接指向带有公式编辑器漏洞CVE-2017-11882的RTF文档，漏洞文档会访问特定网址下载VBS脚本并运行。VBS脚本经过混淆处理，解混淆后会获得一段PowerShell代码，PowerShell代码会从指定网址上获取被base64编码后的.NET程序，解码出.NET程序后，它会将从指定网址上下载的Remcos远控软件注入白文件RegAsm.exe中运行起来。Remcos远控工具有远程桌面、键盘记录、文件管理、命令执行等多种功能，它是一家名为Breaking Security的德国公司以远程控制和监视为名出售的合法工具，但经常被黑客滥用。
2024年5月，瑞星威胁情报平台捕获到一起攻击事件，该事件中使用的诱饵文档与印度什里·拉姆夫人女子学院的宏观经济学课程有关，猜测攻击目标可能是与此相关的学生或者研究人员等。在攻击过程中，攻击者可能通过钓鱼邮件向目标投递恶意宏文档eco.xlam，利用宏代码释放同名诱饵文档eco.xlsx迷惑用户以及释放Crimson远控木马对目标进行窃密远程控制等恶意操作。