一封以商品损坏为由要求退货的邮件，让收件人通过 Google 短链接查看开箱视频，最终下载到的却是装着 WPS 程序和隐藏 DLL 的压缩包。本文从邮件和浏览器实景出发，拆解文件名伪装、DLL 侧加载、加密命令、Python 与 .NET 载荷之间的关系，再用断网虚拟机中的运行记录核对持久化写入和域名解析尝试。结合 isMalicious 的域名信誉截图，区分已经观察到的危险与尚未确认的窃取、外传...