spear-фишинг с OneDrive-ссылками на ZIP-архив. Внутри — Excel с макросами.
Примеры тем писем:
«修正済み履歴書» (Revised Resume)
«臺日道路交通合作...» (Taiwan-Japan Transport Report)
«應徵研究助理...» (Research Assistant Application)

Макрос-дроппер

ROAMINGMOUSE

(теперь Excel, не Word)
Распаковывает ZIP → дропает:
Легитимный EXE (например,

JSLNTOOL.exe

, подписан JustSystems)
DLL

JSFC.dll

(loader ANELLDR)
Зашифрованный ANEL payload
Выполняется через WMI:

explorer.exe legitimate.exe


DLL sideloading (EXE +

JSFC.dll

в одном каталоге)
Если обнаружен McAfee — автозапуск через

.bat

в startup

SharpHide

: скрытный запуск NOOPDOOR через

hstart64.exe

и

MSBuild.exe

Примеры команд:

cmd /c C:\Windows\Microsoft.NET\Framework64\v4.0.30319\MSBuild.exe C:\ProgramData\ctac.xml

C:\WINDOWS\system32\msiexec.exe action=create keyvalue="C:\ProgramData\hstart64.exe" arguments="/NOCONSOLE \"C:\Windows\Microsoft.NET\Framework64\v4.0.30319\MSBuild.exe C:\ProgramData\ctac.xml\""


Payload (Stage 1) — ANEL:

Декодируется и исполняется в памяти (AES-256 + LZO)
Версия теперь зашифрована
Добавлена поддержка

BOF (Beacon Object File)

исполнения

Recon & Target Check:

ANEL выполняет:

tasklist /v
net localgroup administrators
net user


Скриншоты. Цель — убедиться, что жертва соответствует интересам.

Payload (Stage 2) — NOOPDOOR:

Вторичная RAT Earth Kasha с 2021
Новая версия поддерживает

DNS over HTTPS (DoH)

Использует Google, Cloudflare, DGA и HTTPS для скрытого разрешения C2-доменов
После выполнения — удаление следов:

rd /s /q "C:\Users\<REDACTED>\AppData\Local\Microsoft\Media Player\Transcoded Files Cache\<RANDOM>"
rd /s /q "C:\Users\<REDACTED>\AppData\Local\Microsoft\Windows\<RANDOM>"

• Запуск

MSBuild.exe

с

ctac.xml

из

ProgramData

• Внезапное появление

hstart64.exe

• Нетипичные вызовы DoH к

dns.google

/

cloudflare-dns.com

• DLL sideloading от JustSystems

• Zero trust к OneDrive-ссылкам в почте
• Отключение макросов из интернета
• Мониторинг DoH
• Использование EDR/XDR с охватом на sideloading и скрытые процессы