近期，connectwise发现了一个利用Excel默认密码的攻击事件，在该事件中，攻击者使用了Excel的默认密码加密，借此改进钓鱼和进行防御规避，本文将对相关技术内容进行分析。

攻击过程如下：

1.发送钓鱼的PDF邮件，在邮件中包含加密和压缩的Excel文档

2.经过解密和解压缩，还原Excel文档

3.诱骗受害者点击并执行宏代码

4.从宏代码中下载文件vbc.exe（实际是Remcos 后门）并执行，释放恶意Periodicity.dll

5.同时，vbc.exe将自身复制到%AppData%\Roaming中,重命名为iys.exe,使用vbs脚本执行上线iys.exe

6.vbc.exe 进行自删除并持久化，完成整个攻击流程

亮点：利用excel默认密码改善钓鱼手段和静态检测规避

1. 静态免杀效果

在本次攻击中，攻击者利用Excel的默认密码 VelvetSweatshop 对其进行加密，达到静态免杀的效果。

复现如下：

使用CS中生成的原生macro制作宏样本，某杀软扫描结果如下：

2. 减少钓鱼诱导操作