原標(biāo)題：《機(jī)關(guān)、單位速查！境外組織通過(guò)Word、PDF直取機(jī)密文件……》

接收郵件、查閱文檔是一些單位的每日基礎(chǔ)工作。然而，一份看似平常的DOC或PDF文檔，可能正攜帶著竊取機(jī)密的惡意代碼。

2025年6月，國(guó)家安全部通報(bào)一起典型案例。國(guó)內(nèi)某知名大學(xué)前沿科技領(lǐng)域?qū)＜覘罱淌谑盏骄惩馊藛T偽裝成“學(xué)生”發(fā)送的郵件，附件是加密的Word簡(jiǎn)歷，密碼標(biāo)注在郵件正文中，誘導(dǎo)楊教授打開(kāi)。楊教授警惕性極高，及時(shí)上報(bào)，經(jīng)技術(shù)鑒定，該Word文檔內(nèi)置境外間諜情報(bào)機(jī)關(guān)專(zhuān)研的木馬程序。

Word、PDF如何成為“竊密工具”？

套路1：嵌入惡意宏的Word文檔——“啟用內(nèi)容”就是“開(kāi)門(mén)揖盜”

攻擊者將惡意宏代碼嵌入Word文檔，偽裝成會(huì)議通知、合同、補(bǔ)丁說(shuō)明等常用文件，郵件標(biāo)題仿官方口吻，極具迷惑性。用戶(hù)打開(kāi)文檔后，會(huì)彈出“啟用宏才能正常顯示”的提示，一旦點(diǎn)擊“啟用內(nèi)容”，宏代碼將自動(dòng)執(zhí)行：解密釋放惡意載荷，生成偽裝成合法程序的可執(zhí)行文件，植入后門(mén)，實(shí)現(xiàn)開(kāi)機(jī)自啟、遠(yuǎn)程控機(jī)，全程靜默無(wú)提示。

套路2：偽裝成PDF的可執(zhí)行文件——“雙擊打開(kāi)”就會(huì)“引狼入室”

這種手法更具欺騙性，主要有兩種形式：一是“雙后綴偽裝”，文件名看似“xxx.pdf”，實(shí)際是“xxx.pdf.exe”，圖標(biāo)顯示為PDF，用戶(hù)雙擊后，看似打開(kāi)PDF，實(shí)則運(yùn)行可執(zhí)行程序，釋放后門(mén)；二是“惡意文件偽裝”，將惡意.desktop文件偽裝成PDF，用戶(hù)誤點(diǎn)后，觸發(fā)隱藏命令，下載竊密程序。

趕緊關(guān)注我們的官方賬號(hào)吧~

清朗網(wǎng)絡(luò)空間，我們共同守護(hù)！

掃碼進(jìn)入舉報(bào)不良信息頁(yè)面

來(lái)源丨保密觀微信公眾號(hào)、黨建頭條

編輯｜李洋

柳州市互聯(lián)網(wǎng)信息辦公室出品