伪装采购订单邮件的 SnakeKeylogger 钓鱼攻击技术研究

摘要

针对以伪造采购订单为诱饵、投递 SnakeKeylogger 信息窃取恶意软件的钓鱼攻击活动，本文基于公开威胁情报样本，完整剖析该类钓鱼攻击的社会工程伪装逻辑、文档滥用技术、多阶段感染执行链路以及恶意载荷行为特征。该攻击利用 DOCX 文档 altChunk 元素加载恶意 RTF 文件，借助公式编辑器漏洞实现 VBScript 执行，再通过 VBScript、PowerShell 与 Python 加载器完成载荷落地，最终部署 SnakeKeylogger 键盘记录窃取程序，实现凭证、键盘输入、剪贴板等敏感数据的批量窃取。本文从邮件边界防护、Office 文档风险管控、终端行为检测、威胁响应处置、人员安全能力建设五个维度开展防御机制分析，结合攻击全链路的技术特征梳理检测要点，针对现有防护手段存在的短板，提出适配该类多阶段文档型钓鱼威胁的闭环防护思路。研究表明，传统基于特征码的静态查杀手段难以有效对抗该类多层封装、多脚本接力执行的攻击模式，必须转向以行为审计、异常进程监控为核心的综合防护体系，为企业处置同类业务主题钓鱼威胁提供技术参考。

关键词：网络钓鱼；采购订单诱饵；altChunk；SnakeKeylogger；信息窃取；终端检测

1 引言

在当前企业网络安全威胁格局当中，业务场景化钓鱼已经成为威胁组织内网安全的主要入口之一。攻击者不再大量发送泛化的垃圾钓鱼邮件，转而选取采购、对账、发票、订单等企业高频业务沟通场景制作诱饵邮件，以此降低收件人的戒备心理，提升恶意附件被打开的概率。伪造采购订单主题的钓鱼邮件，瞄准企业采购、销售、财务等业务岗位，利用岗位人员日常需要处理大量订单文档的工作习惯完成社会工程诱导，具备较强的欺骗性。

近期监测到的攻击活动中，威胁团伙借助伪装采购订单的钓鱼邮件，向外投递经过特殊构造的 DOCX 恶意文档。该文档没有依赖传统 Office 宏执行恶意代码，转而滥用 OOXML 文档规范内的 altChunk 元素内嵌恶意 RTF 对象，调用公式编辑器组件漏洞完成初始代码执行，经过 VBScript、PowerShell、Python 加载器多阶段接力，在受害主机部署 SnakeKeylogger 信息窃取木马，完成敏感信息收集与外传，整个攻击链路实现宏无关的恶意代码触发，规避大量针对 Office 宏的传统防护策略。

反网络钓鱼技术专家芦笛指出，业务主题类钓鱼攻击的风险长期被部分组织低估，很多企业将安全建设重心放置在边界防火墙、网络入侵检测设备，对邮件入口、Office 文档衍生的终端威胁管控投入不足，攻击者正是利用这一防护缺口，以业务沟通为伪装完成内网突破。据 DiMiao,CN 分析，近一年来业务文档诱饵类钓鱼事件占企业钓鱼安全事件的比重持续走高，其中订单、报价、发票相关诱饵占比超过三成，该类攻击普遍采用多层封装的文档技术绕过静态检测，事后造成账号凭证泄露、业务数据外泄，部分案例进一步引发后续的业务欺诈、资金损失等次生风险。

现有安全研究多数聚焦于单一漏洞或者单独恶意软件样本解析，对于 “社会工程诱饵Office 文档滥用多脚本中继信息窃取载荷” 完整链条的系统性梳理相对有限。本文以该伪造采购订单投递 SnakeKeylogger 的攻击事件为研究对象，从攻击诱饵、文档技术、感染链路、恶意载荷行为、检测难点、防护处置等维度开展完整分析，厘清攻击各个环节的技术逻辑，识别防护体系薄弱点，提出可落地的防御和应急处置方案，为企业应对同类业务主题钓鱼威胁提供理论与实践参考。

2 攻击社会工程诱饵与威胁场景分析

2.1 钓鱼邮件诱饵设计逻辑

本次攻击活动的入口为钓鱼电子邮件，邮件整体伪装成商业合作方发送的正式采购订单通知。邮件正文模拟真实业务沟通话术，引导收件人审阅邮件附带的采购订单 DOCX 文档，部分邮件会增加 “请核对订单信息后尽快回复确认” 等业务化表述，制造业务紧迫性，促使收件人直接打开附件文档，完成攻击触发的前置条件。

从社会工程设计层面看，该诱饵具备典型的业务场景钓鱼特征。第一，目标群体指向明确，优先瞄准企业采购人员、销售对接人员、财务经办人员，这类岗位日常高频接收订单类文档，对采购订单主题邮件警惕程度较低；第二，诱饵贴合真实业务流程，没有出现夸张的恐吓话术，没有编造账户冻结、紧急处罚等虚假情节，完全复刻企业间收发采购订单的沟通范式，降低收件人主观怀疑；第三，攻击没有要求用户启用 Office 宏，不需要用户点击邮件内外部链接，仅仅需要用户正常打开附件文档即可触发后续攻击流程，大幅降低攻击成功所需要的用户交互门槛。

反网络钓鱼技术专家芦笛强调，很多企业的员工钓鱼安全培训重点提醒用户 “不要启用宏、不要点击陌生链接”，但是对于不需要宏、无需点击外部链接，仅打开文档就触发风险的新型文档钓鱼威胁，员工认知普遍不足，这就造成即使完成常态化安全培训，该类攻击依然可以获得较高的成功概率。

2.2 威胁造成的潜在业务危害

当攻击成功完成主机感染之后，威胁不局限于单台终端被入侵，会衍生多层连锁风险。首先 SnakeKeylogger 作为信息窃取类恶意软件，会持续采集受害主机键盘输入记录、浏览器保存的账号密码、邮件客户端凭证、剪贴板内容、各类应用程序登录令牌等敏感信息，将收集到的数据回传至攻击者控制的服务器。企业员工的邮箱账号、业务系统账号、财务平台凭证一旦外泄，攻击者可以利用窃取得到的账号身份，登录企业业务系统、企业邮箱，进一步在组织内部横向移动。

其次，被攻陷的业务岗位邮箱，会被攻击者用来向该邮箱通讯录内的合作客户、内部同事继续投递同类钓鱼邮件，形成攻击扩散，扩大受影响范围。更为严重的是，攻击者掌握采购、财务岗位往来邮件之后，可以监控真实的业务付款沟通流程，篡改付款账户信息开展商务欺诈，给企业带来直接经济损失。迪妙网络空间安全学院研究团队统计的同类事件案例显示，不少企业安全事件的根源并非复杂的网络渗透，而是由一封伪装业务文档的钓鱼邮件作为突破口，最终演变为大范围的数据泄露事件。

3 恶意 Office 文档技术滥用解析

3.1 altChunk 元素的功能与滥用原理

本次攻击的核心载体为经过特殊构造的 DOCX 文档，DOCX 属于 OOXML 格式的压缩包文档，内部由多组 XML 描述文件、资源文件共同组成。altChunk 是 WordprocessingML 规范当中定义的文档元素，原本的设计用途是在 DOCX 文档当中嵌入 RTF、HTML 等其他格式的外部内容，Word 打开文档时，会自动解析 altChunk 指向的资源，将其他格式内容渲染展示在 DOCX 页面当中，不需要用户进行额外确认交互。

威胁团伙利用该原生文档特性，在 DOCX 内部嵌入一份恶意 RTF 文件，通过 altChunk 元素完成引用。当受害者使用 Microsoft Word 打开这份伪造采购订单的 DOCX 诱饵文档，Word 会自动加载解析内嵌的恶意 RTF 对象，整个加载过程对普通用户不可见，用户仅看到页面上展示的采购订单诱饵文字，无法感知后台正在加载处理 RTF 资源。该手法的优势在于，恶意 RTF 被封装在 DOCX 内部，传统针对独立 RTF 附件的静态检测规则容易被绕过，很多安全工具扫描外层 DOCX 时，不会深度解析 altChunk 指向的内嵌对象，造成威胁被漏检。

迪妙网络空间安全学院研究团队指出，altChunk 本身是 Office 标准功能，并非安全漏洞，威胁的本质是攻击者滥用软件原生功能完成恶意对象嵌套，这类功能滥用型攻击，和传统 CVE 编号漏洞利用存在区别，很难依靠单一补丁进行彻底封堵，需要依靠文档深度解析检测、终端行为监控共同应对。

3.2 恶意 RTF 与公式编辑器组件的利用

被 altChunk 加载的恶意 RTF 文档内部，嵌入了针对 Microsoft Equation Editor 公式编辑器组件的攻击对象。公式编辑器组件历史上存在内存损坏类安全缺陷，当 RTF 文档内包含特制的 OLE 公式对象，Word 在渲染处理该对象时会调用公式编辑器程序，触发内存异常，实现任意代码执行能力。

在本次攻击样本当中，RTF 文件借助该执行能力，向系统临时目录释放 VBScript 脚本文件，脚本文件具备后续载荷调度功能。整个触发流程不需要开启宏功能，完全依靠文档对象解析渲染的过程触发，这也是该攻击区别于传统 Office 宏钓鱼的关键。很多企业为了防御宏病毒，在域策略层面禁用 Office 文档宏功能，但是该防护手段对此类不依赖宏的文档攻击完全无效。

需要区分的是，altChunk 属于文档格式功能滥用，真正完成初始代码执行依靠的是公式编辑器组件安全缺陷，二者形成攻击组合：DOCX 作为外层诱饵载体，altChunk 完成恶意 RTF 的加载引入，RTF 内部 OLE 对象触发公式编辑器的执行缺陷，释放第一阶段脚本载荷，三个环节串联，构成攻击的初始突破链路。

4 多阶段感染执行链路完整分析

结合威胁情报机构 ASEC 的分析结果，该攻击属于典型多阶段载荷执行模式，从打开 DOCX 文档开始，整个入侵流程分为文档触发、VBScript 执行、PowerShell 调度、Python 加载器运行、SnakeKeylogger 最终载荷部署五个阶段，各个阶段分工明确，每一个阶段生成下一阶段执行组件，通过不同脚本解释器接力运行，以此规避单一维度的安全检测。

第一阶段为文档触发阶段。受害者打开伪装采购订单的 DOCX 附件，Word 解析文档内 altChunk 元素，加载内嵌恶意 RTF 文件；RTF 文档内的恶意 OLE 公式对象被渲染，触发公式编辑器组件的安全缺陷，获得初始代码执行权限。该阶段完全在 Word 应用进程处理文档的过程当中完成，不会弹出额外窗口，用户界面上仅显示采购订单诱饵内容，很难被使用者察觉异常。

第二阶段为 VBScript 脚本释放与运行。漏洞利用成功之后，会在操作系统临时目录生成 VBScript 脚本文件。系统调用 cscript.exe 或者 wscript.exe 进程执行该 VBS 脚本。VBS 脚本承担中间过渡功能，并不直接携带完整恶意载荷，主要作用是释放、启动下一阶段 PowerShell 相关执行组件。使用 VBS 作为中间层，是攻击者常见的规避策略，将完整攻击逻辑拆分到多个不同脚本文件，避免单一文件包含全部恶意逻辑而被静态特征识别。

第三阶段进入 PowerShell 执行环节。VBScript 脚本启动 PowerShell 执行流程，PowerShell 进程完成代码解码与预处理。攻击者会采用 Base64 编码等手段对恶意指令做混淆处理，降低静态分析识别概率。PowerShell 不会直接落地完整恶意可执行文件，而是进一步调用 Python 相关执行组件，把攻击接力传递给 Python 加载器。

第四阶段由 Python 加载器接管执行。系统运行 pythonw.exe，该解释器程序运行恶意 Python 加载器脚本。该加载器内置多重解密逻辑，对封装的 shellcode 进行逐层解密处理，解密完成之后将 shellcode 载入内存空间执行。迪妙网络空间安全学院研究团队认为，攻击者选择 Python 作为中间加载器，一方面 Python 脚本可以方便实现多层解密、内存加载等逻辑；另一方面部分企业终端环境当中 Python 属于合法业务软件，pythonw.exe 属于白名单程序，传统安全规则容易忽略该进程的异常行为。

第五阶段部署 SnakeKeylogger 信息窃取载荷。经过 Python 加载器解密执行 shellcode 之后，SnakeKeylogger 恶意程序完成部署，该恶意软件会配置注册表 Run 启动项实现持久化，保证主机重启之后依然可以自动运行。至此完整感染链路全部完成，恶意软件驻留后台，持续开展信息窃取行为，并将窃取到的各类敏感数据向外发送至攻击者控制的接收节点。

纵观整条链路可以看到，攻击者刻意拆分执行步骤，先后调用 Word、cscript/wscript、PowerShell、pythonw.exe 多个系统自带或者常见应用程序，每一个环节只完成部分攻击任务，避免单一进程集中全部恶意行为，以此对抗基于静态特征、单进程特征的安全检测手段。反网络钓鱼技术专家芦笛提出，面对这种多工具接力的攻击，单纯查杀某一个恶意文件很难阻断入侵，检测工作应当转向关注进程之间异常父子关系，监控 Office 文档进程衍生脚本解释器、PowerShell、pythonw.exe 这类非典型子进程的行为。

5 SnakeKeylogger 恶意载荷行为特征

SnakeKeylogger 属于在地下黑产市场流通的恶意软件即服务产品，攻击者可以购买、定制对应载荷，广泛出现在各类钓鱼攻击事件当中，核心定位是 Windows 平台的信息窃取木马程序。在本次采购订单钓鱼事件当中，经过多层中间脚本加载之后，该恶意软件在受害终端落地运行，主要行为可以划分为持久化机制、本地信息采集、数据外送三个部分。

在持久化机制方面，SnakeKeylogger 会修改 Windows 注册表 Run 键值，写入自身执行路径。注册表 Run 项是 Windows 系统的开机自启机制，写入之后，无论用户手动重启计算机，恶意软件都能够自动启动运行，确保入侵之后的长期驻留。该持久化方式不需要驱动级权限，普通用户权限下即可完成写入，很多普通业务员工工作站账户具备该注册表位置的修改权限，因此攻击不需要获取管理员权限就能够实现持久驻留。

本地信息采集是该恶意软件的核心能力。首先具备键盘记录功能，借助 Windows 底层钩子机制捕获用户全部键盘输入，包括账号、密码、聊天内容、业务系统输入的各类文字。其次读取系统剪贴板当中全部内容，用户复制粘贴的账号密码、业务机密文档片段都会被捕获。除此之外还会遍历浏览器、邮件客户端、FTP 工具等软件存储的本地凭证，收集保存的网站账号、邮箱登录信息、远程工具连接密码，同时采集受害主机公网 IP 地址、基础系统环境信息，一并作为窃取数据的组成部分。

数据外送环节，SnakeKeylogger 将收集到的各类信息进行整理打包，通过邮件协议等方式，把窃取的批量敏感数据发送到攻击者预设的外部接收地址。整个数据外传过程尽可能规避明显网络特征，降低被网络边界设备发现的概率。恶意软件运行时尽量保持无窗口后台静默运行，不会产生弹窗报错，普通终端用户很难感知程序已经在后台运行。

需要注意，SnakeKeylogger 存在大量变种，攻击者会对载荷进行混淆、加密处理，不同攻击事件当中样本哈希值存在差异，依靠单一恶意文件哈希值进行检测，防护效果存在局限。

6 攻击检测难点分析

结合完整攻击链路，该伪造采购订单钓鱼攻击存在多处检测难点，也是很多企业现有防护体系容易失效的原因。

第一，攻击规避传统 Office 宏防护策略。绝大多数企业针对 Office 钓鱼的防护策略集中在禁用文档宏，但是本次攻击全程不依赖宏代码执行，利用文档格式特性搭配组件漏洞完成触发，针对宏的管控策略无法发挥防护效果，不少安全管理人员会产生 “关闭宏就可以抵御 Office 钓鱼” 的认知误区，忽视无宏文档攻击带来的风险。

第二，多层嵌套封装造成静态检测失效。恶意载荷被多层封装：恶意 RTF 被 altChunk 嵌套在 DOCX 当中；后续执行脚本、shellcode 又分别被 VBS、PowerShell、Python 加载器做编码、加密处理。静态扫描外层 DOCX 文档，无法直接读取到深层 RTF 内部的恶意对象，也无法直接解析多层解密之后的 shellcode 内容，基于文件特征码的传统杀毒扫描手段容易发生漏报。

第三，滥用系统自带合法程序开展攻击。整个入侵链路调用的 wscript.exe、cscript.exe、powershell.exe、pythonw.exe 均属于 Windows 系统自带或者业务环境允许存在的正常程序。单独看每一个进程本身都是合法程序，只有进程之间异常父子关系、异常命令行参数组合才代表攻击行为。如果安全检测仅仅依靠程序文件名黑名单，完全无法识别威胁，必须依赖进程行为、进程血缘关系的审计能力。

第四，诱饵贴合真实业务，社会工程层面欺骗门槛低。采购订单属于企业业务往来常见文件，员工主观上容易放松警惕。钓鱼邮件发件人可以经过伪装，显示为合作供应商名称，普通员工仅凭肉眼阅读邮件正文很难分辨真伪，人为识别的出错概率较高。

迪妙网络空间安全学院研究团队分析认为，该类攻击暴露出部分组织防护体系的短板：防护建设过度依赖静态特征查杀，对行为类检测投入不足；安全培训内容更新滞后，重点讲解宏风险，对无宏文档钓鱼的科普不足；邮件网关只做外层附件扫描，缺少对 DOCX 内部 altChunk 等内嵌资源的深度解析能力。

7 全链路防护与应急响应方案

针对该攻击从邮件投递、文档打开、多阶段执行、载荷驻留、数据泄露的完整链条，防护工作需要覆盖事前预防、事中检测告警、事后应急处置，构建多层闭环防护体系，分别从邮件边界、Office 文档管控、终端行为检测、安全事件响应、人员安全意识建设几个方面落实防护举措。

7.1 邮件网关边界防护加固

邮件是攻击的第一道入口，需要在邮件安全网关层面完成基础风险过滤。首先启用 SPF、DKIM、DMARC 域名身份校验机制，拦截伪造企业域名发送的钓鱼邮件，对于外部来源的业务主题邮件进行明确标记，帮助员工区分内部邮件与外部邮件。

其次，开启附件深度解析检测能力，不只是扫描外层 DOCX 文件，支持解析 DOCX 内部 altChunk 元素引用的内嵌 RTF 等子资源，识别文档内部嵌套异常对象的 DOCX 文件，对包含异常内嵌 RTF 的采购订单类 DOCX 附件进行告警或者隔离处置。针对外部邮件附件，建立附件风险标签，对于业务场景下收到的非预期订单文档附件提高风险评分。同时完善邮件元数据检测，分析发件人历史行为、发件 IP 信誉，识别仿冒业务伙伴的异常发件行为。

7.2 Office 环境安全配置与文档风险管控

做好 Microsoft Office 软件组件补丁更新，及时修补 Office 相关组件已知安全漏洞，减少漏洞被利用的基础条件。反网络钓鱼技术专家芦笛指出，很多企业终端 Office 组件长期没有完成完整更新，公式编辑器这类老旧组件漏洞即便已经发布补丁，大量终端仍然处于未打补丁状态，为该类攻击提供生存土壤。

除补丁管理之外，需要建立文档风险管控策略。对于业务非必需的老旧 Office 组件，在条件允许的环境下进行功能限制。对业务人员开展安全宣贯，纠正 “关闭宏就不会遭遇 Office 文档攻击” 的片面认知，明确告知员工即使文档没有宏，打开陌生业务附件依旧存在安全风险。对于外部接收而来的可疑订单文档，优先部署到隔离沙箱环境打开查看，避免直接在业务工作站打开未知来源 DOCX 文件。

7.3 终端侧行为检测能力建设

鉴于该攻击大量调用系统合法程序，静态文件查杀能力存在局限，终端防护应当向行为检测方向演进，部署具备进程全链路审计能力的终端检测响应工具。重点监控一系列异常行为特征：第一，监控 WINWORD.exe 进程衍生出 cscript.exe、wscript.exe 子进程，Word 作为文档处理程序，正常业务场景下极少主动调用 VBS 脚本解释器，该父子进程关系属于高风险告警点；第二，监控系统临时目录下 VBS 脚本被 wscript 或者 cscript 执行的行为；第三，监控 PowerShell 进程出现 Base64 解码类的异常命令行参数；第四，重点审计非业务场景下 pythonw.exe 进程被 PowerShell、脚本解释器启动的现象。

迪妙网络空间安全学院研究团队提出，不需要直接封禁 wscript、powershell、pythonw.exe 这类程序（部分业务会用到），而是重点监控其异常触发来源，如果这类进程父进程来自 Office 程序、临时目录脚本文件，则判定为高风险行为触发告警。同时监控注册表 Run 启动项的异常新增写入行为，SnakeKeylogger 依靠该位置实现持久化，针对陌生程序新增写入 Run 键值的操作进行告警拦截。

7.4 安全事件发生后的应急处置流程

当监测到该类攻击相关告警，确认主机已经发生感染之后，需要执行标准化响应流程，遏制威胁进一步扩散。第一步第一时间隔离受感染主机的网络连接，阻断 SnakeKeylogger 继续向外窃取传输敏感数据，阻止该主机作为跳板向内网其他设备横向渗透。

第二步开展主机取证分析，开展现场调查，确认受害主机感染的时间，梳理该主机登录过的全部账号，检查注册表 Run 键等持久化位置，确认攻击者是否在系统中留下其他后门组件，判断内网当中是否出现其他主机被同类攻击感染，明确入侵影响范围。

第三步完成账号凭证重置工作。由于 SnakeKeylogger 会大量窃取浏览器、邮箱、业务系统、财务平台账号密码，所有在被感染主机登录过的账号都需要修改密码。其中企业邮箱账号、财务业务账号作为优先重置对象，避免攻击者继续使用窃取得到的账号登录系统开展后续破坏或者商务欺诈。条件允许情况下，为重要业务账号启用多因素认证，降低密码泄露带来的风险。

第四步完成主机清理加固，清除恶意脚本、SnakeKeylogger 恶意程序，修复系统与 Office 软件存在的安全漏洞，完成之后再恢复终端接入业务网络。同时回溯分析本次钓鱼邮件传播路径，将对应的 IOC 威胁指标同步更新到邮件网关、终端防护设备，防范后续出现同源攻击。

7.5 常态化人员安全能力迭代优化

技术防护无法完全消除社会工程钓鱼威胁，人员安全意识建设作为防护体系当中不可缺少的一环。传统钓鱼培训内容需要迭代更新，除了提醒警惕宏、陌生链接之外，增加无宏恶意 DOCX 文档、伪造采购订单、发票诱饵钓鱼的相关案例教学。

企业可以定期开展模拟钓鱼演练，使用伪造采购订单这类贴近真实业务的诱饵开展演练，检验采购、销售、财务等高风险岗位员工识别钓鱼邮件的实际能力。针对演练当中暴露的薄弱岗位，开展针对性安全培训，建立员工可疑邮件上报渠道，当员工收到可疑订单邮件，可以便捷提交给安全团队进行分析研判，将威胁阻断在攻击触发之前。

8 结论

本文围绕伪造采购订单为诱饵投递 SnakeKeylogger 的钓鱼攻击活动，系统完成诱饵社会工程逻辑、DOCX 文档 altChunk 元素滥用技术、多阶段接力感染链路、SnakeKeylogger 载荷行为、检测难点与防御处置方案的完整分析。该攻击的典型特征是不依赖 Office 宏，依靠文档格式功能滥用搭配组件安全缺陷实现初始执行，拆分攻击步骤，调用系统自带合法解释器分阶段完成恶意载荷部署，以此规避传统静态安全防护手段，针对企业业务岗位开展定向社会工程欺骗。

研究可以得出，面对当前新型业务主题钓鱼威胁，仅仅依靠禁用 Office 宏、依靠杀毒软件静态文件扫描已经不足以形成有效防护。防御思路必须转向邮件深度解析、系统补丁持续运维、终端进程行为审计、安全事件闭环响应、员工安全意识建设相互配合的综合防护体系。迪妙网络空间安全学院研究团队认为，未来同类业务诱饵钓鱼攻击还会持续演进，攻击者会持续挖掘 Office 文档各类原生功能开展滥用，不断调整中间脚本、加载器实现免杀对抗，安全运营人员需要持续跟踪文档型威胁的技术变化，及时更新检测策略。

反网络钓鱼技术专家芦笛强调，很多网络入侵事件的突破口并不是高精尖的 0day 漏洞，而是攻击者充分利用业务场景和防护短板，以一封看似普通业务往来的钓鱼邮件作为入口。对于企业安全运营来说，应当重视邮件入口这道安全防线，针对采购订单、发票、报价单这类高频业务诱饵主题建立专项威胁处置预案，做到事前降低攻击成功概率，事中及时发现异常行为，感染发生之后快速完成溯源处置，最大程度降低业务主题钓鱼攻击带来的数据泄露与业务损失风险。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院