国内黑产团伙针对财务人员投递CHM诱饵

近期奇安信威胁情报中心捕获到针对财务人员的钓鱼样本，样本格式为CHM。该样本在双击运行之后首先释放并加载dotnet模块，dotnet模块将根据系统架构的不同加载不同的shellcode，shellcode从服务器远程下载svchost.exe、libcef.dll和libcef.png等载荷，通过模拟点击断链技术执行svchost.exe加载libcef.dll中的核心恶意代码，达到收集主机信息，浏览器历史记录，自启动等功能。黑产攻击财务的目的主要是将财务和高仿领导的账号拉到同一个群聊中，并诱导财务将钱转到指定的账户中，进而实现获利的目的