HTTP请求并复制发送至C&C服务器。是实际上后台VBA代码正在C:\Resources目录下创建5个后缀为.cmd的文件,然后通过CreateProcessA执行c:\Resources\BC4603BB450B14.cmd。http[:]//rygseminarios.com/egprod40.eof下载nas6.exe。nas6.exe搜集当前系统CPUID序列号发送至https[:]//magnwnce.com/photo.png?id=,然后从http[:]//149.154.67.19/tin.exe下载Trickbot。后每隔11分钟执行一次。injectDll64_configs,networkDll64_configs,pwgrab64_configs,tabDll64_configs下。(包括“Chrome”、“IE”和“Firefox”浏览器)。并调用CreateRemoteThread执行注入。则将该HTTP请求复制并发送到C&C服务器。APT攻击组织,甚至没有之一。Sun**@126.com、yang**@126.com、chen**@126.com、zhao**@163.com、reny**@163.com等。http://api.baidu-json.com/feed/news.html,而news.html实际为一个vbs脚本文件。