網絡安全公司趨勢科技(Trend Micro)發現了名叫Confucius的網絡犯罪團伙最近進行的惡意活動。黑客們利用臭名昭著的以色列Pegasus(飛馬惡意軟件)誘餌發起了一場釣魚活動，欺騙用戶點擊下載數據盜竊代碼的惡意文件。

攻擊以一封干凈的電子郵件開始，其中包含從巴基斯坦合法報紙文章中復制的文字。兩天后，受害者收到一封新的電子郵件，其中包含冒充巴基斯坦軍方官員關于PegASUS間諜軟件的警告，其中包括一個cutt.ly鏈接到加密的Word文檔和一個解密密碼。

無論受害者采取什么行動，點擊其中任何一個鏈接都會下載Word文檔。如果目標人物輸入了電子郵件中的密碼，電腦屏幕上就會出現一個帶有宏的文檔。如果該特定機器上啟用了宏，下一步就是簡單地加載惡意代碼。一個名為skfk.txt的.NET DLL文件就會在臨時目錄中被創建，該文件包含文檔注釋欄的材料。PowerShell被用來將該文件加載到內存中，并用于竊取數據。

簡單地說，當列出的擴展名的MD5哈希值匹配時，該文件就會通過C&C服務器被檢索出來。沒有列出的文件被保存到同一C&C服務器的不同文件夾，使用機器名對應用戶名字符串。

“Confucius”網絡犯罪團伙過去曾使用幾個文件竊取工具對巴基斯坦軍隊進行網絡間諜攻擊。開發者在創建惡意文件時使用創新技術，其中一些技術包括使用加密文件來防止自動分析，或將有害代碼隱藏在評論部分。