Stargazer Goblin 的回响：分析开放目录中共享的 TTP

作者分析一个利用 Microsoft Office Equation Editor 漏洞（CVE-2017-11882、CVE-2018-0802）的 RTF 样本：内嵌 Equation 对象触发 EQNEDT32.exe 漏洞后在 %temp% 释放 adcache.dll，由 rundll32.exe 加载执行，先检测 killswitch 域名再回连 C2 下载 shellcode 至内存执行，并演示用 Qiling 二进制仿真框架辅助分析。

Cobalt Strike 狩猎指南第 1 部分：用 AttackCapture 从开放目录中的 PowerShell 加载器与配置脚本入手，结合 SSL 证书与指纹 pivot 绘制活跃 C2 服务器地图。

专访 Daniel Plohmann：Malpedia 与 MCRIT 工具背后的建设历程、恶意软件分析的入门路径与协作心得，以及金属核音乐如何平衡他的研究生活。

Hunt.io 通过开放目录情报揭示 XWorm RAT 的伪装投递策略：样本伪装成浏览器、安全工具与文件传输软件，例如泰国服务器上孤零零的 SecurityHealthService.exe。

Hunt.io 发现 RunningRAT（曾关联 2018 年平昌冬奥会攻击的访问窃密工具）正转向加密货币挖矿：样本与挖矿载荷经开放目录与独立 VPS 分级投递。

香港主机上的开放目录暴露了一批攻击工具：Cobalt Strike 4.2、旧漏洞利用代码、凭证窃取工具 BrowserGhost，以及疑似针对中文教育平台的 Goblin 钓鱼工具。