“Operation Discord”是一项主要针对哥伦比亚的间谍活动，该活动试图分发njRAT恶意软件。njRAT是一种流行的远程访问木马，允许攻击者远程控制受感染的计算机并执行诸如发送和接收文件、记录击键、截屏和录制音频等操作。该活动的主要受害者是来自不同行业的公司、非营利组织和政府实体。

近日，研究人员发现了发送给乌克兰咖啡公司的钓鱼邮件，邮件看似是由沙特阿拉伯的一家石油供应商发送的，正文中显示的部分PDF文件图像声称是采购订单，实际上是指向云中托管的ISO文件的链接，其中包含GuLoader的可执行文件。GuLoader也称为CloudEye和vbdropper，通常用于部署其他恶意软件变种，如Agent Tesla、Formbook和Lokibot。

ITG23又名Wizard Spider、DEV-0193或“Trickbot Group”，是一个以开发 Trickbot 银行木马而闻名的网络犯罪组织。研究人员分析了 13 种加密器，这些加密器均与由 ITG23 内部团队、第三方分销商（包括 Trickbot、BazarLoader、Conti 和 Colibri）以及Emotet、IcedID 等其他组织开发的恶意软件一起使用。

Chaos 是一种可定制的勒索软件构建器，于 2021 年 6 月 9 日首次出现在地下论坛中。此后，该软件经历了五次旨在改进其功能的迭代：6 月 17 日的 2.0 版、7 月 5 日的 3.0 版、8 月 5 日的 4.0 版和 2022 年初的 5.0 版。近日，研究人员披露了Chaos 勒索软件的最新版本的详细信息。新版本名为Yashma，具有两项新改进，包括能够根据受害者的位置停止执行，以及终止与防病毒和备份软件相关的各种进程。

Turla是一个讲俄语的网络间谍威胁组织，与俄罗斯联邦的FSB部队有密切联系。近日，Turla瞄准了奥地利经济商会、波罗的海国防学院以及一个北约电子学习平台。仿冒域名用于托管名为“War Bulletin 19.00 CET 27.04.docx”的恶意 Word 文档，此文件包含嵌入的 PNG (logo.png)，但不包含任何恶意宏，研究人员认为PNG仅用于执行侦察。此外，Turla 还可以访问受害者的 IP 地址，这将有助于后续的攻击阶段。

近日，研究人员发现了一个恶意软件分发活动，该活动利用PDF附件分发恶意Word文档，从而使用户感染恶意软件。活动中通过电子邮件传播的PDF文档名为“Remittance Invoice（汇款发票）”，打开PDF时，Adobe Reader会提示用户打开其中包含的DOCX文件。攻击者将嵌入的文档命名为“已验证”，诱使收件人相信Adobe Reader已将该文件验证为合法并且该文件可以安全打开。如果打开DOCX文件并启用宏，将从远程资源下载RTF文件并打开。   RTF文档包含格式错误的OLE对象，可能会规避分析。研究人员发现它试图滥用旧的微软公式编辑器漏洞（CVE-2017-11882）来运行代码。通过利用该漏洞，RTF中的shellcode会下载并运行Snake Keylogger，这是一个模块化的信息窃取程序，具有强大的持久性、防御规避、凭据访问、数据收集和数据泄露功能。