概述
意昂体育-科技赋能场景,让娱乐更有趣!红雨滴团队一连关注全球APT组织的攻击运动，，，，，，， ，其中包括海莲花（OceanLotus）APT组织 。。。。。。。近期外洋厂商Netskope宣布了一篇关于mht名堂文件（Web归档文件）通过携带的Office宏植入恶意软件的剖析报告[1]，，，，，，， ，由于其中提及的样本接纳的攻击手法与海莲花组织保存相似之处，，，，，，， ，报告以为此次攻击运动是海莲花组织所为 。。。。。。。
经由红雨滴团队研究职员对此类样本的深入剖析，，，，，，， ，发明攻击流程中也保存着一些差别于海莲花过往攻击运动的特点，，，，，，， ，因此不扫除其他攻击团伙模拟海莲花的可能性 。。。。。。�；；； ；；；；谙钟械墓嫘畔ⅲ�，，，，，， ，暂时还不可确定此次攻击运动背后团伙的详细身份 。。。。。。。别的，，，，，，， ，我们注重到此类样本使用Glitch平台下发后续恶意软件，，，，，，， ，进一步发明它们与意昂体育-科技赋能场景,让娱乐更有趣!威胁情报中心去年12月披露的攻击样本[2]一脉相承 。。。。。。。
本文将深入剖析此次攻击运动涉及的样本，，，，，，， ，梳理与之关联的其他攻击运动，，，，，，， ，并与海莲花组织历史攻击手法举行较量，，，，，，， ，总结攻击运动中相似的地方以及独吞的特征 。。。。。。。此类攻击样本具有如下特点：
1.宏代码会凭证系统版本释放32位或64位恶意DLL，，，，，，， ，释放恶意DLL时会插入一段随机数据;
2.宏代码和恶意DLL均举行了代码混淆；；； ；；；；
3.恶意DLL将网络的信息回传给Glitch平台托管的C2效劳，，，，，，， ，然后下载经由7z压缩的后续恶意软件并执行 。。。。。。。
样本信息
网络到的攻击样本信息如下
网络到的攻击样本名字基本都是英文，，，，，，， ，只有Tai_lieu.rar为越南语，，，，，，， ，意为“文件” 。。。。。。。RAR文件中包括携带Office宏的mht文件，，，，，，， ，样本执行流程如下 。。。。。。。
详细剖析
以样本11d36c3b57d63ed9e2e91495dcda3655为例举行剖析 。。。。。。。
RAR中包括一个与RAR同名的mht名堂文件Tailieu.doc，，，，，，， ，翻开后会提醒受害者启用宏 。。。。。。。
启用宏后会翻开Document.doc，，，，，，， ，文档没有详细内容，，，，，，， ，只有一段过失信息，，，，，，， ，用来疑惑受害者 。。。。。。。
VBA
VBA经由混淆处置惩罚，，，，，，， ，接纳的混淆手段除了名称混淆，，，，，，， ，尚有通过Chr函数拼接要害字符串，，，，，，， ，以及用十六进制、八进制和十进制的混淆运算获得常量数字 。。。。。。。
启用宏后，，，，，，， ，首先判断是否为VBA7，，，，，，， ，以及系统版本是否为64位，，，，，，， ，判断效果生涯在全局变量hPY42J6w中 。。。。。。。
建设目录”%ProgramData%\MicrosoftOutlookSync”，，，，，，， ，并将系统中原有的guest.bmp文件复制到新建目录下，，，，，，， ，用于生涯接下来释放的恶意DLL 。。。。。。。
挪用函数kPW1Jdp7d4eP95n，，，，，，， ，将生涯在mht文件末尾的doc文件和dll文件释放出来 。。。。。。。拼接在mht文件末尾的文件数据依次是32位dll、64位dll和doc文件 。。。。。。。文件释放顺序从后往前，，，，，，， ，以是每份文件数据最后会跟一个4字节的数据标记文件数据的长度，，，，，，， ，释放时可以通过该长度定位文件数据的起始位置 。。。。。。。
之宿世存机械版本判断效果的hPY42J6w变量决议了释放哪些文件：若是该变量为1，，，，，，， ，则当变量v2yHmJl5EO064cV为0和2时才执行文件释放操作，，，，，，， ，这时会释放doc文件和32位dll；；； ；；；；反之若是hPY42J6w为2，，，，，，， ，则释放doc文件和64位dll 。。。。。。。
拼接在mht文件尾部的doc文件和dll文件数据未经由加密或者编码处置惩罚，，，，，，， ，不过dll文件数据的生涯方法和释放方法较量特殊 。。。。。。。Doc文件数据以完整的形式生涯在文件中，，，，，，， ，释放时直接提取 。。。。。。。
Dll文件数据生涯形式如下：先是两个4字节的数据，，，，，，， ，然后是dll文件除去作为PE文件魔数的起始两个字节（即0x4D5A）余下的数据 。。。。。。。因今生涯在mht中的文件数据长度会比原始文件长度大6个字节 。。。。。。。Dll文件数据在释放时首先从mht中读取2个用于后续修复DOS头的占位字节和除去0x4D5A余下的原始文件数据 。。。。。。。然后向读取的数据中插入一段随机数据举行膨胀处置惩罚，，，，，，， ，插入数据的位置和长度划分由上面提到的两个4字节数据决议 。。。。。。。最后将获得的数据生涯在”%ProgramData%\MicrosoftOutlookSync”目录下的guest.bmp文件中 。。。。。。。
接着宏代码将生涯了dll文件数据的guest.bmp复制为background.dll，，，，，，， ，将文件开头两个字节改为”MZ”，，，，，，， ，从而修复DOS头，，，，，，， ，挪用background.dll的OpenProfile函数，，，，，，， ，删除guest.bmp文件 。。。。。。。
最后将翻开的mht文件属性设置为系统隐藏，，，，，，， ，然后关闭文件 。。。。。。。
释放的DLL
VBA宏释放的32位和64位dll功效一致，，，，，，， ，由于dll文件释放时会被插入一段随机数据，，，，，，， ，以是dll文件的哈希值不牢靠，，，，，，， ，下面以释放的32位dll举行剖析 。。。。。。。
释放的dll文件指令经由混淆处置惩罚，，，，，，， ，导出函数有两个，，，，，，， ，函数名称为OpenProfile和SaveProfile 。。。。。。。两个函数的功效划分为通过设置妄想使命实现长期化，，，，，，， ，以及将后续载荷注入远程傀儡历程执行 。。。。。。。
Backgroud.dll的DllMain函数将导出函数要用到的要害字符串和其他参数生涯在全局变量中 。。。。。。。
OpenProfile函数由VBA挪用，，，，，，， ，该函数通过COM工具设置妄想使命运行dll的另一个导出函数SaveProfile 。。。。。。。
SaveProfile将dll中内嵌的PE文件注入远程傀儡历程，，，，，，， ，建设远程历程时的下令为”rundll32.exekernel32.dll,Sleep” 。。。。。。。
远程线程寄存器上下文中的指令寄存器所指向地点距存放注入数据的内存起始地点的偏移值为0x44C20，，，，，，， ，对应注入内存的PE被dump出来后，，，，，，， ，其唯一导出函数在磁盘文件中的位置 。。。。。。。
注入内存的DLL
释放的32位dll和64位dll注入远程历程中的dll都是32位，，，，，，， ，文件巨细相同，，，，，，， ，功效一致 。。。。。。。
Dll以未映射文件的形式注入内存，，，，，，， ，该dll唯一的导出函数的作用是在内存中反射加载自身 。。。。。。。在分派内存加载dll自身之后，，，，，，， ，导出函数执行DllMain函数两次，，，，，，， ，两次执行时DllMain的第二个参数划分为1和4 。。。。。。。Dll中的恶意行为只有在参数为4时才会触发 。。。。。。。
如background.dll一样，，，，，，， ，首先将要害字符串和其他设置数据生涯在全局变量中 。。。。。。。
在”C:\ProgramData”目录下建设名为”MicrosoftEdgeDownload”的子目录，，，，，，， ，网络主机信息，，，，，，， ，信息包括网卡MAC地点、用户名、主机名、目今所有历程名、ProgramData目录的文件和子目录名称 。。。。。。。
网络的信息经由加密处置惩罚后以POST请求回传给Glitch平台托管的C2效劳，，，，，，， ，回传URL为hxxps://elemental-future-cheetah.glitch.me/afe92a2bd2P 。。。。。。。
然后以GET请求从C2获取后续，，，，，，， ，后续载荷以7z压缩文件传输 。。。。。。�；；； ；；；；袢『笮腢RL为hxxps://elemental-future-cheetah.glitch.me/afe92a2bd2D 。。。。。。。后续载荷生涯位置为“C:\ProgramData\MicrosoftEdgeDownload\properties.bin” 。。。。。。。
7z压缩包中的恶意软件解压后生涯在“C:\ProgramData\MicrosoftEdgeDownload“目录下 。。。。。。。通过COM工具设置妄想使命的方法执行后续载荷，，，，，，， ，同时实现后续恶意软件的长期化，，，，，，， ，妄想使命的名称为”ChromeUpdate” 。。。。。。。
由于C2现在已无法会见，，，，，，， ，无法获取后续恶意软件举行剖析 。。。。。。。以系统中的盘算器程序（calc.exe）模拟获取的后续载荷展示设置的妄想使命 。。。。。。。
该dll尚有一个特点，，，，，，， ，使用GetCurrentThread/GetCurrentProcess和WaitForSingleObject取代Sleep举行休眠操作 。。。。。。。
运动关联
早期样本
此类攻击样本最早可追溯至2021年8月，，，，，，， ，早期样本信息如下：
mslog.dll和mslog64.bin划分对应前面所述攻击流程中释放的32位dll和64位dll，，，，，，， ，2zofrncu.dll为mslog.dll注入远程历程的PE 。。。。。。。三个样本的结构和运行流程与此次攻击运动涉及的dll样本一样，，，，，，， ，相关URL如下：
值得注重的是，，，，，，， ，在整个攻击流程中注入内存的PE不会落在磁盘上，，，，，，， ，但样本2zofrncu.dll上传VT的时间早于它的上级样本mslog.dll 。。。。。。。别的，，，，，，， ，这三个样本均由统一上传者从越南上传VT 。。。。。。。团结以上信息我们推测这三个样本有可能是早期测试样本 。。。。。。。
之前披露的攻击样本
此次攻击运动涉及的样本与意昂体育-科技赋能场景,让娱乐更有趣!威胁情报中心去年12月披露的攻击样本[2]具有强关联，，，，，，， ，可以以为来自于统一攻击团伙 。。。。。。。首先是两次攻击运动中使用了相同内容的展示过失信息的文档 。。。。。。。
然后是恶意dll使用的代码混淆手法相同，，，，，，， ，并且运行流程一样：
（1）会在“C:\ProgramData“目录下建设名称与Microsoft相关的子目录；；； ；；；；
（2）网络主机信息，，，，，，， ，加密后以POST请求回传给托管在Glitch平台的C2效劳程序，，，，，，， ，回传的URL名堂均为hxxps://[xxx]-[xxx]-[xxx].glitch.me/[xxx]P；；； ；；；；
（3）然后从C2获取经由7z压缩的后续载荷并执行，，，，，，， ，获取后续的URL名堂均为hxxps://[xxx]-[xxx]-[xxx].glitch.me/[xxx]D 。。。。。。。
与海莲花历史攻击手法的较量
攻击样本使用了海莲花组织的一些历史攻击手法 。。。。。。。海莲花组织在过往攻击运动中使用过携带恶意宏的mht文件释放KerrDown下载器[3]，，，，，，， ，同样恶意宏会凭证系统版本选择释放32位dll照旧64位dll，，，，，，， ，作为KerrDown下载器的dll也以图片名堂文件的后缀名生涯在磁盘上 。。。。。。。另外这批攻击样本涉及的恶意dll所接纳的指令混淆要领与海莲花相似，，，，，，， ，样本执行历程中也接纳了反射加载的方法在内存中加载PE 。。。。。。。
与海莲花之前攻击运动中的差别之处在于：
（1）样本展示过失新闻的文件名称与原始mht文件名称纷歧致，，，，，，， ，无法确定是攻击者的疏忽照旧刻意为之 。。。。。。。并且待释放的文件数据直接拼接在mht文件尾部，，，，，，， ，未经由加密或编码处置惩罚，，，，，，， ，海莲花则常将待释放文件数据以加密或编码之后的形式生涯 。。。。。。。
（2）样本使用的反射加载方法与海莲花组织有所区别 。。。。。。。海莲花组织常用shellcode作为反射加载PE的加载器，，，，，，， ，而这批攻击样本以被加载dll的导出函数作为加载器 。。。。。。。
上述差别之处，，，，，，， ，既可能源自海莲花组织实验新的攻击手法，，，，，，， ，也可能是攻击运动由其他团伙所为 。。。。。。。由于样本名称缺少针对性，，，，，，， ，C2效劳托管于果真平台Glitch，，，，，，， ，且URL失效无法获取到后续恶意软件，，，，，，， ，现在还暂时不可明确攻击者的详细身份，，，，，，， ，有待后面进一步的线索信息发明 。。。。。。。
总结
此类攻击样本借助mht文件携带的恶意宏向受害主机植入恶意软件，，，，，，， ，攻击历程中所用手法与海莲花组织保存相似之处，，，，，，， ，然而也有一些差别于海莲花历史攻击运动的特点 。。。。。。。只管现在暂时不可归属到详细攻击团伙，，，，，，， ，但通过梳理相关的一系列攻击运动可以发明背后的攻击者在一直刷新自己的攻击手段，，，，，，， ，更新攻击武器 。。。。。。。
此次攻击运动暂未发明海内用户受影响，，，，，，， ，但提防之心不可无 。。。。。。。意昂体育-科技赋能场景,让娱乐更有趣!红雨滴团队提醒宽大用户，，，，，，， ，切勿翻开社交媒体分享的泉源不明的链接，，，，，，， ，不点击执行未知泉源的邮件附件，，，，，，， ，不运行问题夸张的未知文件，，，，，，， ，不装置非正规途径泉源的APP 。。。。。。。做到实时备份主要文件，，，，，，， ，更新装置补丁 。。。。。。。
若需运行，，，，，，， ，装置泉源不明的应用，，，，，，， ，可先通过意昂体育-科技赋能场景,让娱乐更有趣!威胁情报文件深度剖析平台（https://sandbox.ti.qianxin.com/sandbox/page）举行判别 。。。。。。。现在已支持包括Windows、安卓平台在内的多种名堂文件深度剖析 。。。。。。。
现在，，，，，，， ，基于意昂体育-科技赋能场景,让娱乐更有趣!威胁情报中心的威胁情报数据的全线产品，，，，，，， ，包括意昂体育-科技赋能场景,让娱乐更有趣!威胁情报平台（TIP）、天擎、天眼高级威胁检测系统、意昂体育-科技赋能场景,让娱乐更有趣!NGSOC、意昂体育-科技赋能场景,让娱乐更有趣!态势感知等，，，，，，， ，都已经支持对此类攻击的准确检测 。。。。。。。
IOCs
MD5
0ee738b3837bebb5ce93be890a196d3e
11d36c3b57d63ed9e2e91495dcda3655
204cb61fce8fc4ac912dcb3bcef910ad
a7a30d88c84ff7abe373fa41c9f52422
b1475bdbe04659e62f3c94bfb4571394
b2eb3785e26c5f064b7d0c58bdd3abe0
d8fa458192539d848ee7bb171ebed6bd
e7ce1874ab781c7a14019b6a6e206749
eb6cf9da476c821f4871905547e6a2b4
f5ea39b70f747e34ae024308298f70ac
f8d30c45ed9d3c71ec0f8176ddd7fd8f
6d0ab5f4586166ac3600863bc9ac493e
0bd0f1dd8b03c11b3d59da2c5fba2e45
cc4a9d5248095e64c1f22e8a439416cc
URL
hxxps://elemental-future-cheetah.glitch.me/afe92a2bd2D
hxxps://elemental-future-cheetah.glitch.me/afe92a2bd2P
hxxps://elemental-future-cheetah.glitch.me/559084b660P
hxxps://elemental-future-cheetah.glitch.me/02d9169d60D
hxxps://elemental-future-cheetah.glitch.me/02d9169d60P
hxxps://confusion-cerulean-samba.glitch.me/e1db93941c
hxxps://confusion-cerulean-samba.glitch.me/0627f41878D
hxxps://confusion-cerulean-samba.glitch.me/0627f41878P
hxxps://confusion-cerulean-samba.glitch.me/192f188023
hxxps://confusion-cerulean-samba.glitch.me/2e06bb0ce9
hxxps://confusion-cerulean-samba.glitch.me/55da2c2031
hxxps://torpid-resisted-sugar.glitch.me/fb3b5e76b4D
hxxps://torpid-resisted-sugar.glitch.me/fb3b5e76b4P
hxxps://torpid-resisted-sugar.glitch.me/83a57b42f1D
hxxps://torpid-resisted-sugar.glitch.me/83a57b42f1P
hxxps://torpid-resisted-sugar.glitch.me/5db81501e9P
hxxps://immense-plastic-pullover.glitch.me/T812D
hxxps://immense-plastic-pullover.glitch.me/T812P
参考链接
[1]https://www.netskope.com/blog/abusing-microsoft-office-using-malicious-web-archive-files
[2]https://ti.qianxin.com/blog/articles/Obfuscation-techniques-similar-to-OceanLotus/
[3]https://unit42.paloaltonetworks.com/tracking-oceanlotus-new-downloader-kerrdown/
连忙拨打
京公网安备11000002002064号