本文分析了Sysmon日志以调查攻击者活动，发现攻击者通过updater.hta启动powershell.exe，下载恶意文件supply.exe，并利用ftp.exe执行命令。恶意软件依赖Python代码，最终尝试通过端口9898建立反向连接。