contactus@threatbook.cn。两个相同的加密的docx文件,以及一个伪装成“Password.txt”的lnk文件。Password.txt”获取密码。Vbscript脚本执行,短域名形式的URL为“hxxps://bit[.]ly/2MgEsjc”,实际网络请求时,URL地址为“hxxp://download[.]showprice.xyz:8080/open?id=1qbg9gs5iLsG0BMJmCBAVWdmAbkV7WFDYPndK528Q7I%3D”。notepad,则Password.txt随即被删除。将执行以下shell命令。