L’allegato della mail, a volte una reale conversazione rubata, contiene uno zip con un xlsb, che contatta 1 dei 3 url e scarica la dll. Al momento, però, è inattiva.
Il file xlsb nell’allegato zip, creato con EtterSilent, contatta 3 url e scarica la dll, avviando l’infezione del malware. Ma solo se gli IP non sono in blacklist.