搜索

[6285] 2019-11-15_疑似海莲花又有新活动，攻击目标似为国内大型企业

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-17
2019-11-15_疑似海莲花又有新活动，攻击目标似为国内大型企业 疑 似 海 莲 花 又 有 新 活 动 ， 攻 击 目 标 似 为 国 内 大 型 企 业 E 安 全   2 0 1 9 - 1 1 - 1 5 以 下 文 章 来 源 于 安 恒 信 息   ， 作 者 猎 影 背 景 背 景 近 期 安 全 研 究 院 猎 影 威 胁 分 析 团 队 在 文 件 威 胁 分 析 平 台 上 监 控 发 现 疑 似 海 莲 花 组 织 又 有 新 的 活 动 出 现 ， 其 攻 击 目 标 似 为 国 内 大 型 企 业 。 海 莲 花 （ O c e a n L o t u s ） 是 高 度 组 织 化 的 、 专 业 化 的 境 外 国 家 级 黑 客 组 织 。 其 活 动 迹 象 最 早 可 追 溯 到 到 2 0 1 2 年 ， 攻 击 目 标 包 括 中 国 及 及 其 他 东 亚 国 家 ( 地 区 ) 政 府 、 海 事 机 构 、 海 域 建 设 部 门 、 科 研 院 所 和 航 运 企 业 等 。 很 明 显 海 莲 花 组 织 是 一 个 有 国 外 政 府 支 持 的 A P T ( 高 级 持 续 性 威 胁 ) 组 织 。 分 析 分 析 本 次 捕 获 到 的 样 本 名 称 为 “ 定 - 关 于 报 送 2 0 1 9 年 度 经 营 业 绩 考 核 目 标 建 议 材 料 的 报 告 . d o c ” ， 这 是 一 个 包 含 恶 意 宏 代 码 的 诱 饵 文 档 。 打 开 文 档 内 容 如 下 ： 安 恒 信 息 安 恒 信 息   . 杭 州 安 恒 信 息 技 术 股 份 有 限 公 司 （ D B A P P S e c u r i t y ） ， 科 创 板 ： 6 8 8 0 2 3 ， 全 球 网 络 安 全 创 新 5 0 0 强 。 以 自 主 可 控 的 专 利 技 术 ， 提 供 W e b 应 用 安 全 、 数 据 库 安 全 、 网 站 安 全 监 测 产 品 与 服 务 、 态 势 感 知 大 数 据 中 心 及 智 慧 城 市 云 安 全 运 营 整 体 解 决 方 案 。
执 行 宏 代 码 ， 通 过 r e g s v r 3 2 . e x e   注 册 调 用 ~ $ d o c - a d 9 b 8 1 2 a - 8 8 b 2 - 4 5 4 c - 9 8 9 f - 7 b b 5 f e 9 8 7 1 7 e . o l e 程 序 ， 该 程 序 为 d l l 文 件 ， 注 册 函 数 会 跳 转 到 D l l U n r e g i s t e r S e r v e r _ 0 函 数 进 行 执 行 ，
其 会 再 次 通 过 r e g s v r 3 2 . e x e 调 用 自 身 ， 然 后 在 新 进 程 中 释 放 伪 装 文 档 ：
  并 解 密 出 最 终 的 p a y l o a d 进 行 执 行 。 最 终 的 p a y l o a d 为 复 杂 木 马 。 回 连 域 名 包 括 ： j c d n . j s o i d [ . ] c o m n e w s . s h a n g r i l a e x p o r t s [ . ] c o m c l i p . s h a n g w e i d e s i g n [ . ] c o m 关 联 关 联 文 档 模 板 在 海 莲 花 历 史 攻 击 样 本 中 出 现 过 类 似 的 ， 如 “ 2 0 1 8 年 公 司 总 结 报 告 补 充 建 议 . d o c ” （ m d 5 : 1 1 5 f 3 c b 5 b d f b 2 f f e 5 1 6 8 e c b 3 6 b 9 a e d 5 4 ） 。 使 用 r e g s v r 3 2 . e x e 调 用 D l l R e g i s t e r S e r v e r ， 在 样 本 “ T H I C H - T H O N G - L A C - H A N H - T H A P - T H I E N - V I E T - N A M   ( 1 ) . E X E ” （ m d 5 : 2 a a 2 d 2 c c 6 3 1 2 2 b 4 9 8 c 8 2 f 7 6 2 4 4 6 4 6 1 9 9 ） 等 中 出 现 过
与 该 复 杂 木 马 相 似 的 木 马 也 是 海 莲 花 使 用 的 远 控 载 荷 之 一 ， 如 “ W i n W o r d . e x e ” S F X 样 本 （ m d 5 : d 8 7 e 1 2 4 5 8 8 3 9 5 1 4 f 1 4 2 5 2 4 3 0 7 5 c f c 0 7 8 ） 。 可 见 该 次 活 动 似 与 海 莲 花 关 联 。 域 名 分 析 域 名 分 析 可 以 通 过 域 名 看 出 一 些 相 关 对 标 内 容 。 j c d n . j s o i d [ . ] c o m   疑 似 某 科 技 公 司 n e w s . s h a n g r i l a e x p o r t s [ . ] c o m   字 面 意 思 为 香 格 里 拉 出 口 c l i p . s h a n g w e i d e s i g n [ . ] c o m   某 设 计 公 司 I O C m d 5
3 c 3 b 2 c c 9 f f 5 d 7 0 3 0 f b 0 1 4 9 6 5 1 0 a c 7 5 f 2 8 e 2 b 5 b 9 5 9 8 0 c f 5 2 e 9 9 a c f a 9 5 f 5 e 1 5 7 0 b d o m a i n j c d n . j s o i d [ . ] c o m n e w s . s h a n g r i l a e x p o r t s [ . ] c o m c l i p . s h a n g w e i d e s i g n [ . ] c o m I P 7 7 . 2 4 5 . 7 6 [ . ] 6 6 5 . 1 0 4 . 1 1 0 [ . ] 1 7 0 9 4 . 1 7 7 . 1 2 3 [ . ] 1 3 7 防 御 建 议 与 总 结 防 御 建 议 与 总 结 企 业 应 当 注 重 培 养 人 员 安 全 意 识 ， 不 轻 易 打 开 未 知 来 源 的 邮 件 及 附 件 ， 不 随 意 点 击 未 知 链 接 ， 不 随 意 打 开 未 验 证 可 靠 来 源 的 文 档 。 及 时 为 信 息 系 统 打 好 补 丁 。   部 署 安 恒 A P T 预 警 平 台 ， 安 恒 A P T 预 警 平 台 能 够 发 现 已 知 或 未 知 的 威 胁 ， A P T 预 警 平 台 的 实 时 监 控 能 力 能 够 捕 获 并 分 析 邮 件 附 件 投 递 文 档 或 程 序 的 威 胁 性 ， 并 能 够 对 邮 件 投 递 ， 漏 洞 利 用 、 安 装 植 入 、 回 连 控 制 等 各 个 阶 段 做 强 有 力 的 监 测 。 结 合 安 恒 威 胁 情 报 系 统 ， 可 将 国 内 外 的 威 胁 数 据 进 行 汇 总 ， 并 分 析 整 个 攻 击 演 进 和 联 合 预 警 。   猎 影 威 胁 分 析 团 队 将 持 续 关 注 网 络 安 全 动 态 。 团 队 简 介 团 队 简 介 猎 影 威 胁 分 析 团 队 是 安 恒 安 全 研 究 院 一 支 专 注 于 攻 防 技 术 研 究 的 团 队 ， 团 队 由 一 支 擅 长 攻 防 技 术 研 究 、 A P T 分 析 、 二 进 制 研 究 的 年 轻 队 伍 组 成 。 欢 迎 有 志 于 安 全 检 测 、 二 进 制 研 究 和 攻 防 技 术 研 究 的 小 伙 伴 加 入 我 们 团 队 。 招 聘 二 进 制 安 全 研 究 员 招 聘 二 进 制 安 全 研 究 员 职 位 描 述 ： 1 、 在 日 常 可 疑 文 件 分 析 的 基 础 ， 进 行 数 据 挖 掘 ， 寻 找 A P T 攻 击 事 件 ； 2 、 分 析 客 户 反 馈 的 可 疑 文 件 ， 编 写 分 析 报 告 ， 提 供 解 决 方 案 等 ； 3 、 负 责 热 门 安 全 事 件 、 最 新 漏 洞 的 分 析 ， 编 写 分 析 报 告 或 p o c 代 码 等 4 、 研 究 新 的 检 测 方 法 ， 维 护 和 完 善 A P T 检 测 等 产 品 策 略 5 、 协 助 内 部 威 胁 分 析 平 台 建 设 等 职 位 要 求 ： 1 、 熟 悉 w i n d o w s 、 L i n u x 上 调 试 手 段 ， 能 够 熟 练 使 用 常 用 逆 向 分 析 工 具 （ I D A 、 W i n D b g 、 O D 等 ) ; 2 、 熟 悉 C / C + + 、 汇 编 语 言 ， 至 少 熟 悉 一 门 脚 本 编 程 语 言 ， 能 快 速 完 成 P O C 代 码 编 写 ； 3 、 熟 悉 病 毒 、 木 马 通 信 原 理 和 常 用 技 术 以 及 常 见 加 密 算 法 等 ； 4 、 熟 悉 安 全 漏 洞 原 理 ， 有 独 立 文 档 漏 洞 分 析 能 力 ；
5 、 至 少 1 年 以 上 逆 向 分 析 、 安 全 研 究 相 关 工 作 经 验 ， 能 力 优 先 不 受 工 作 年 限 限 制 ； 6 、 具 备 大 数 据 挖 掘 能 力 ， 对 数 据 极 度 敏 感 ， 能 够 快 速 对 数 据 进 行 关 联 分 析 ； 7 、 思 路 清 晰 ， 善 于 主 动 思 考 ， 有 创 新 、 能 独 立 分 析 和 解 决 问 题 ， 具 有 良 好 的 沟 通 能 力 和 团 队 合 作 精 神 ； 8 、 有 漏 洞 分 析 、 病 毒 木 马 分 析 、 W e b 攻 防 、 威 胁 情 报 挖 掘 、 反 A P T 攻 击 、 机 器 学 习 相 关 、 I O T 、 I C S 等 工 作 经 验 的 优 先 。 联 系 方 式 ： 联 系 方 式 ： x i a o y i . t u @ d b a p p s e c u r i t y . c o m . c n 围 观 进 博 会 的 核 心 网 络 安 保 力 量 ， 安 恒 信 息 再 次 成 功 护 航 热 文 三 场 会 议 折 射 出 安 恒 信 息 的 思 考 与 实 践 热 文 “ 竞 赛 平 台 + 安 全 防 护 ” ， 安 恒 信 息 全 力 支 撑 2 0 1 9 “ 湖 湘 杯 ” 网 络 安 全 技 能 大 赛 复 赛 往 期 精 选
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理