2. 提取第二阶段payload作为资源关于脚本提取的办法，能够用python的PEFile库去解析PE文件，提取PYTHONSCRIPT资源，也能够用东西把资源dump出来。 提取往后，几行简略的脚本就能够复原出python代码了。 下面的这个函数就能够完结PYTHONSCRIPT流的解析作业。 4.回来的数据很难解析和剖析（需求特别的软件和恰当的技术）Microsoft Word for Mac 2011 在C2上辨认的之一个可履行文件是WinNTProgram.exe（MD5：021a0f57fe09116a43c27e5133a57a0a），FireEye标识为LONGWATCH。 LONGWATCH是一个键盘记录器，能够将键盘记录输出到Window的临时文件夹中的log.txt文件。 有关LONGWATCH的更多信息，请参阅帖子结尾的歹意软件附录部分。

翻开之一个Office文档后，用户会看到一个提示音讯，宣称文档的“内容形式可用”。