退税邮件？其实是Amadey僵尸网络恶意软件
美国电影《哈里之战》有句台词:“这世界只有死亡和交税是无法避免的。”在美国人的每一个人生阶段，国家都准备好了“礼物”。不管你身在何处，只要你还是美国公民，那就请记得交税。
去年年底，英国《每日邮报》报道称，由于平民王妃梅根仍保持美国公民身份，所以不仅梅根本人需向美国政府纳税，哈里王子、查尔斯王储乃至英国女王都有可能被美国税务部门盯上。由此，英国王室已聘请美国税务专家团队来分析有关风险并提出应对方案。
就连英国王妃都逃不掉，更何况普通人呢？经过几十代人的不断修改和完善,美国的现行税收体系可谓是天网恢恢,疏而不漏，横跨生死……可是这么重要的事，美国政府却把计算这件事交到了老百姓自己手上。一本美国的税收规则手册，超过340万个英语单词，上千页厚，复杂程度逼得普通人根本无力独自核算，直接养活了一堆代为报税的税务代理和律师，以至于和税有关的专业都位列“好找工作”的榜单之中。
不光税制复杂，税的金额也不低。据统计，美国人有99天的收入是用来向各级政府缴纳五花八门的税，各种税赋占全年总收入的26.9%。美国人民不仅每年要上交约1/4的个人收入，还得花钱请人帮自己算到底要交多少。所以到了每年算总账的时节，那基本上就是哀鸿遍野。
最近，一项网络钓鱼活动就盯上了这个复杂又耗钱的纳税，该活动通过虚假的所得税退税邮件向美国纳税人分发Amadey僵尸网络恶意软件。普通老百姓又不懂复杂的纳税流程，又能少交税，怎么可能会不打开退税邮件呢？
网络钓鱼邮件的发件人是美国国税局（IRS），通知收件人他们符合相关的退税条件。
与其它网络钓鱼活动不同的是，受害者点击链接后，攻击者不会要求受害者提供相关凭据，而是提供临时用户名和密码来登录链接到邮件正文的虚假IRS门户网站。
该网站的网址为hxxp://yosemitemanagement[.]com/fonts/page5/，通知受害者他们有一个待处理的退款。
通知上表示受害者填写网站上提供的文件后就可以获得退款，该文件是一个ZIP文档，其中包含Visual Basic脚本删除程序。
研究人员的分析表明该脚本经过高度混淆和加密，代码需要经过多个清理阶段才能理解。
启动时，脚本会执行自解密例程并删除可执行文件“ZjOexiPr.exe”，该文件会安装另一个二进制文件（“kntd.exe”）并通过将自身置于Windows注册表中来实现持久性。
成功感染受害者之后，Amadey会立即向攻击者提供一系列详细信息，包括系统的唯一标识符（ID）、安装的Amadey版本（VS）、操作系统（OS）、可用的防病毒软件（AV）、系统名称（PC）和用户名（UN）等。
