应急响应篇&钓鱼攻击&邮件与文件&EML还原&蠕虫分析&线索定性&处置封锁

钓鱼邮件的eml中会有

1. 邮件服务器地址
2. 域名（发信人）
3. 发送的本地IP和主机名
4. 发送的内容以及附件
   邮件钓鱼：

攻击者目的：通过发信人，附件，取得突破

1. 定性钓鱼邮件
   威胁情报，人工分析来源，域名，ip
2. 定性攻击目的
   攻击者目的：通过发信人，附件，取得突破

程序做了什么事情：

权限维持

监听上线

读取本地文件，对其中的邮箱地址继续发送钓鱼邮件

通过介质进行传播