“海蓮花”，又名APT32和OceanLotus，是越南背景的黑客組織。該組織至少自2012年開始活躍，長(zhǎng)期針對(duì)中國能源相關(guān)企業(yè)、海事機(jī)構(gòu)、海域建設(shè)部門、科研院所和航運(yùn)企業(yè)等進(jìn)行網(wǎng)絡(luò)攻擊。除中國外，“海蓮花”的目標(biāo)還包含全球的政府、軍事機(jī)構(gòu)和大型企業(yè)，以及本國的媒體、人權(quán)和公民社會(huì)等相關(guān)的組織和個(gè)人。
微步在線長(zhǎng)期監(jiān)控著“海蓮花”的活動(dòng)動(dòng)向，曾發(fā)布多份關(guān)于該團(tuán)伙的分析報(bào)告《“海蓮花”團(tuán)伙的最新動(dòng)向分析》、《“海蓮花”團(tuán)伙專用后門Denis最新變種分析》和《微步在線發(fā)現(xiàn)“海蓮花”團(tuán)伙最新macOS后門》。微步在線監(jiān)測(cè)發(fā)現(xiàn)，2018年4月份以來，該團(tuán)伙攻擊活動(dòng)異常頻繁，并開始利用高危Office漏洞來投遞其常用特種木馬Denis，具體內(nèi)容包含：
據(jù)微步在線威脅情報(bào)云監(jiān)測(cè)發(fā)現(xiàn)，本月APT32 的攻擊活動(dòng)異常頻繁，中國能源和金融相關(guān)企業(yè)，以及越南周邊的柬埔寨等國的相關(guān)目標(biāo)遭到攻擊，其中國內(nèi)是重災(zāi)區(qū)。
2018年4月以來，APT32開始大量利用CVE-2017-11882和CVE-2017-8570等Office漏洞投遞其特種木馬Denis，攻擊過程中利用了“白利用”技術(shù)。
APT32在2018年4月5日前后集中注冊(cè)了幾十個(gè)域名，并開始使用后綴為info、club和xyz的頂級(jí)域名，且其中部分已被用于真實(shí)的攻擊。
鑒于此次攻擊行動(dòng)相比之前，目標(biāo)更廣、頻次更高，建議國內(nèi)相關(guān)行業(yè)（金融、能源和政府）及重點(diǎn)單位及時(shí)排查。
微步在線通過對(duì)相關(guān)樣本、IP和域名的溯源分析，共提取59條相關(guān)IOC，可用于威脅情報(bào)檢測(cè)。微步在線的威脅檢測(cè)響應(yīng)平臺(tái)（TDP）、威脅情報(bào)訂閱、API等均已支持此次攻擊事件和團(tuán)伙的檢測(cè)。
詳情
微步在線長(zhǎng)期跟蹤全球100余黑客組織。近期，微步在線監(jiān)測(cè)到APT32的活動(dòng)加劇，持續(xù)針對(duì)中國能源和金融等相關(guān)企業(yè)，以及越南周邊的柬埔寨等國的相關(guān)目標(biāo)發(fā)起攻擊。微步在線的狩獵系統(tǒng)捕獲了一批APT32的最新攻擊樣本，分析發(fā)現(xiàn)這些樣本利用了CVE-2017-11882和CVE-2017-8570漏洞投遞其專有的特種木馬Denis，相關(guān)樣本如下：
SHA256
漏洞
C2
文件名
e5c766ad580b5bc5f74acc8d2f5dd028c11495d2ce503de7c7a294f94583849d
CVE-2017-11882
straliaenollma.xyz andreagahuvrauvin.com byronorenstein.com
Document_GPI Invitation-UNSOOC China.doc
0d1577802d4560b9ba184a2d13570ba28ed0318eee520f2f7a6c5ef238671dd9
CVE-2017-11882
stopherau.com orinneamoure.com ochefort.com
3a3bc31afcf2ec82ff9ac0016ce47e10833227665ab056117520bdf097525c63
CVE-2017-8570
tsworthoa.com earlase.com aximilian.com
abfcba26e50a88c2ce507212b15d2ee24c28fc8b28edeaae27f70faaf6fae700
CVE-2017-8570
orinneamoure.com ochefort.com icmannaws.com
Monthly Report 03.2018.doc
Denis是APT32最常用的特種木馬，是一個(gè)全功能的后門，包含多種對(duì)抗技術(shù)，其特征是使用DNS隧道技術(shù)與其C2通信。Denis此前主要通過雙擴(kuò)展，虛假Word、Excel、WPS和PDF圖標(biāo)，虛假更新（Adobe、FireFox、Google），以及字體相關(guān)工具誘導(dǎo)受害者點(diǎn)擊可執(zhí)行文件進(jìn)行傳播。之前的一些誘餌文件的文件名和圖標(biāo)如下：
樣本分析
以最新捕獲的誘餌文檔“Document_GPIInvitation-UNSOOC China.doc”為例進(jìn)行分析，該文檔包含CVE-2017-11882漏洞利用，觸發(fā)漏洞利用之后會(huì)交付APT32的特種木馬Denis。
1、 該樣本的基本信息如下：
文件類型
rtf
文件大小
3139367 字節(jié)
文件名
Document_GPI Invitation-UNSOOC China.doc
SHA256
e5c766ad580b5bc5f74acc8d2f5dd028c11495d2ce503de7c7a294f94583849d
SHA1
e2d949cf06842b5f7ae6b2dffaa49771a93a00d9
MD5
02ae075da4fb2a6d38ce06f8f40e397e
2、 該樣本在微步云沙箱的分析結(jié)果如下圖：
https://s.threatbook.cn/report/file/e5c766ad580b5bc5f74acc8d2f5dd028c11495d2ce503de7c7a294f94583849d/?env=win7_sp1_enx86_office2010
3、 該文檔包含CVE-2017-11882漏洞利用，打開后會(huì)顯示一模糊圖片來迷惑受害者，如下圖：
4、 該誘餌文檔觸發(fā)CVE-2017-11882漏洞后的整體執(zhí)行流程如下圖，該漏洞的相關(guān)分析見附錄的“漏洞分析”。
打開文檔觸發(fā)漏洞之后會(huì)執(zhí)行shellcode1，shellcode1會(huì)繼續(xù)執(zhí)行shellcode2，shellcode2最終會(huì)在C:\ Program Files\目錄下創(chuàng)建一個(gè)隱藏文件夾Microsoft-Windows-DiskDiagnosticResolver_2021325962，向該目錄釋放三個(gè)文件：MicrosoftWindowsDiskDiagnosticResolver.exe、rastls.dll和OUTLFLTR.DAT，然后啟動(dòng)MicrosoftWindowsDiskDiagnosticResolver.exe。
MicrosoftWindowsDiskDiagnosticResolver.exe是一個(gè)包含Symantec簽名的白文件，啟動(dòng)后會(huì)加載同目錄下的惡意rastls.dll，這是典型的“白利用”技術(shù)。rastls.dll最終會(huì)交付APT32的特種木馬Denis，相關(guān)“白利用”技術(shù)和Denis木馬的詳細(xì)分析見微步在線發(fā)布的報(bào)告《“海蓮花”團(tuán)伙專用后門Denis最新變種分析》。
| 
