文件列表

尝试从批量（这里举例仅用5个）的文件中，聚类，分类，并设置高危的样本模型：

特殊点

正常文档：编辑时间和次数，可能打印

正常的文档均需要修改，故有修改次数。以及修改需要时间造成的，创建时间和保存时间差距。
正常的文档还可能需要打印，故元数据中还有打印时间。

恶意文档：编辑时间短（或者0），无修改（修订号少），不打印

例如上表的“保存者：吴焜”的文件。

非强关联：KSOProductBuildVer

可能由于黑客的工作环境较为 私人/个人，没用用公司安装的正版Office（也可能是盗版的），常见的编辑器为WPS：

WPS创建：

模型

打个样，便于理解，写给一个老弟看的，实际上还有很多维度。

高危

基于文档元数据

1. 有宏代码
2. 无打印时间

3. 有文字但编辑时间为0

   时效性

4. 修改时间距离比较近

   基于宏代码

5. 函数名为Private AutoOpen || Document_Open || Workbook_Open

6. 宏代码中有字符串：

   1. 下载：URLDownloadToFile
   2. 保存：SaveAs
   3. 执行：Shell / ShellExecute
   4. 其他：如创建线程等，建议设置为具体的行为类规则

      中危

7. 有宏代码

8. 函数为AutoOpen

   时效性中危

   满足高危但编辑时间较远

   低危

9. 仅有宏代码

注意：此处仅以恶意宏代码类型举例，具体的Office利用方式有很多，如远程模板注入，11882，DDE等不再本文讨论范围。