7 月 17 日，SandBlast零日防護(hù)開(kāi)始顯示出大規(guī)模的電子郵件攻擊，而此次攻擊并未被傳統(tǒng) AV 解決方案捕獲。截至攻擊后第 4 天，Check Point 已攔截到 5,000 個(gè)不同的攻擊樣本，VirusTotal 卻僅有少量樣本，其中半數(shù)無(wú)法被任何 AV 掃描引擎檢測(cè)到，其余樣本被檢測(cè)到的次數(shù)也是屈指可數(shù)。

　　此次攻擊與會(huì)發(fā)送空白內(nèi)容電子郵件的“BlankSlate”垃圾郵件攻擊有關(guān)，在此例中則是發(fā)送空白主題的電子郵件給用戶，同時(shí)惡意有效負(fù)載會(huì)被加載到以如下形式命名的附件壓縮文件中 - EMAIL_NNNNNN_AAAAAA.zip。

　　該附件包含一個(gè)被嚴(yán)重混淆的下載和執(zhí)行JavaScript文件，以及大量關(guān)于不同國(guó)家和城市的維基百科文章的盜用文本。

　　SandBlast將附件解壓，避免因仿真JavaScript文件造成的混淆，并識(shí)別其與惡意命令和控制服務(wù)器之間的通信。

　　為避免被加入黑名單，本次攻擊的C&C域會(huì)迅速變化；所有域均為近期注冊(cè)并具有以下模式：hxxp://sitename.tld/（support|admin）。phpf=1.doc

　　它們?cè)?VirusTotal 上的檢測(cè)率也非常低，65 個(gè)信譽(yù)服務(wù)中大約僅能檢測(cè)出 5 個(gè)。

　　C&C 為此利用流量重定向腳本，并阻止一些國(guó)家和 ISP訪問(wèn)該站點(diǎn)。

　　針對(duì)依據(jù)地理定位（例如美國(guó)）而選定的目標(biāo)，C&C將返回一個(gè)BTC勒索軟件有效負(fù)載。該勒索軟件要求轉(zhuǎn)賬0.5比特幣到以下地址 - 1DCZzWZuCwWptG6e1H5D65HyuQyxp2SVWP，并將交易頁(yè)面截圖發(fā)送到中國(guó)電子郵箱 - chines34@protonmail.ch 。

　　Check Point以色列捷邦安全軟件科技有限公司（www.checkpoint.com.cn）是全球最大的專(zhuān)注于安全的解決方案提供商，為各界客戶提供業(yè)界領(lǐng)先的解決方案抵御惡意軟件和各種威脅。Check Point提供全方位的安全解決方案包括從企業(yè)網(wǎng)絡(luò)到移動(dòng)設(shè)備的安全保護(hù)，以及最全面和可視化的安全管理方案。Check Point現(xiàn)為十多萬(wàn)不同規(guī)模的組織提供安全保護(hù)。