🥇ESET: নতুন OceanLotus ব্যাকডোর ডেলিভারি স্কিম

এই পোস্টে আমরা আপনাকে বলব কিভাবে সাইবার গ্রুপ OceanLotus (APT32 এবং APT-C-00) সম্প্রতি সর্বজনীনভাবে উপলব্ধ একটি শোষণের জন্য ব্যবহার করেছে জন্য CVE-2017-11882, মাইক্রোসফ্ট অফিসে মেমরি দুর্নীতির দুর্বলতা, এবং কীভাবে গ্রুপের ম্যালওয়্যার কোনও চিহ্ন না রেখে আপোসকৃত সিস্টেমে স্থিরতা অর্জন করে। এর পরে, আমরা বর্ণনা করব কিভাবে, 2019 এর শুরু থেকে, গ্রুপটি কোড চালানোর জন্য স্ব-নিষ্কাশন সংরক্ষণাগার ব্যবহার করছে।

OceanLotus সাইবার গুপ্তচরবৃত্তিতে বিশেষীকরণ করে, যার অগ্রাধিকার লক্ষ্য দক্ষিণ-পূর্ব এশিয়ার দেশগুলি। আক্রমণকারীরা নথি জাল করে যা সম্ভাব্য শিকারদের দৃষ্টি আকর্ষণ করে তাদের পিছনের দরজায় চালানোর জন্য রাজি করাতে, এবং সরঞ্জামগুলি তৈরিতেও কাজ করছে। হানিপট তৈরি করতে ব্যবহৃত পদ্ধতিগুলি আক্রমণ জুড়ে পরিবর্তিত হয়, "ডাবল-এক্সটেনশন" ফাইল, স্ব-নিষ্কাশন সংরক্ষণাগার, ম্যাক্রো সহ নথি, পরিচিত শোষণ পর্যন্ত।

মাইক্রোসফ্ট ইকুয়েশন এডিটরে একটি শোষণ ব্যবহার করা

2018-এর মাঝামাঝি সময়ে, OceanLotus CVE-2017-11882 দুর্বলতাকে কাজে লাগিয়ে একটি প্রচারণা চালায়। সাইবার গ্রুপের দূষিত নথিগুলির মধ্যে একটি 360 থ্রেট ইন্টেলিজেন্স সেন্টারের বিশেষজ্ঞরা বিশ্লেষণ করেছেন (চীনা ভাষায় গবেষণাশোষণের বিশদ বিবরণ সহ। নীচের পোস্টে যেমন একটি দূষিত নথির একটি ওভারভিউ রয়েছে৷

প্রথম পর্যায়ে

দলিল FW Report on demonstration of former CNRP in Republic of Korea.doc (SHA-1: D1357B284C951470066AAA7A8228190B88A5C7C3) উপরের গবেষণায় উল্লিখিত অনুরূপ। এটি আকর্ষণীয় কারণ এটি কম্বোডিয়ার রাজনীতিতে আগ্রহী ব্যবহারকারীদের লক্ষ্য করে (CNRP - কম্বোডিয়া ন্যাশনাল রেসকিউ পার্টি, 2017 এর শেষে দ্রবীভূত)। .doc এক্সটেনশন থাকা সত্ত্বেও, নথিটি RTF ফরম্যাটে (নীচের ছবি দেখুন), আবর্জনা কোড রয়েছে এবং এটি বিকৃতও।

চিত্র 1. RTF-এ "আবর্জনা"

যদিও বিকৃত উপাদান আছে, Word এই RTF ফাইলটি সফলভাবে খোলে। আপনি চিত্র 2-এ দেখতে পাচ্ছেন, অফসেট 0xC00-এ একটি EQNOLEFILEHDR কাঠামো রয়েছে, তার পরে একটি MTEF হেডার, এবং তারপর ফন্টের জন্য একটি MTEF এন্ট্রি (চিত্র 3) রয়েছে৷

চিত্র 2. FONT এন্ট্রি মান

চিত্র 3 FONT রেকর্ডিং বিন্যাস

মাঠে সম্ভাব্য উপচে পড়া নাম, কারণ অনুলিপি করার আগে এর আকার চেক করা হয় না। খুব দীর্ঘ একটি নাম একটি দুর্বলতা ট্রিগার করে। আপনি RTF ফাইলের বিষয়বস্তু থেকে দেখতে পাচ্ছেন (চিত্র 0-এ 26xC2 অফসেট), বাফারটি শেলকোড দিয়ে ভরা হয়েছে এবং একটি ডামি কমান্ড (0x90) এবং ফিরতি ঠিকানা 0x402114. ঠিকানা একটি ডায়ালগ উপাদান মধ্যে EQNEDT32.exeনির্দেশাবলী নির্দেশ করে RET. এটি ক্ষেত্রের শুরুতে ইআইপি নির্দেশ করে নামশেলকোড ধারণকারী।

চিত্র 4. শেলকোড শোষণের শুরু

ঠিকানা 0x45BD3C একটি ভেরিয়েবল সঞ্চয় করে যেটিকে ডিরেফারেন্স করা হয় যতক্ষণ না এটি বর্তমানে লোড করা কাঠামোতে একটি পয়েন্টারে পৌঁছায় MTEFData. বাকি শেলকোড এখানে।

শেলকোডের উদ্দেশ্য হল খোলা নথিতে এমবেড করা শেলকোডের দ্বিতীয় অংশটি কার্যকর করা। মূল শেলকোড প্রথমে সমস্ত সিস্টেম বর্ণনাকারীর উপর পুনরাবৃত্তি করে খোলা নথির ফাইল বর্ণনাকারী খুঁজে বের করার চেষ্টা করে (NtQuerySystemInformation যুক্তি দিয়ে SystemExtendedHandleInformation) এবং তারা মেলে কিনা তা পরীক্ষা করা হচ্ছে পিআইডি বর্ণনাকারী এবং পিআইডি প্রক্রিয়াটি WinWord এবং নথিটি অ্যাক্সেস মাস্ক দিয়ে খোলা হয়েছে কিনা - 0x12019F.

সঠিক হ্যান্ডেলটি পাওয়া গেছে তা নিশ্চিত করতে (এবং অন্য খোলা নথিতে হ্যান্ডেল নয়), ফাইলের বিষয়বস্তু ফাংশন ব্যবহার করে প্রদর্শিত হয় CreateFileMapping, এবং শেলকোড পরীক্ষা করে যে নথির শেষ চারটি বাইট মেলে কিনা "yyyy"(ডিম শিকার পদ্ধতি)। একবার একটি মিল পাওয়া গেলে, নথিটি একটি অস্থায়ী ফোল্ডারে অনুলিপি করা হয় (GetTempPath) কিভাবে ole.dll. তারপর ডকুমেন্টের শেষ 12 বাইট পড়া হয়।

চিত্র 5. নথি চিহ্নিতকারীর শেষ

মার্কারের মধ্যে 32-বিট মান AABBCCDD и yyyy পরবর্তী শেলকোডের অফসেট। একে ফাংশন ব্যবহার করে বলা হয় CreateThread. একই শেলকোড বের করা হয়েছে যা আগে OceanLotus গ্রুপ ব্যবহার করেছিল। পাইথন এমুলেশন স্ক্রিপ্ট, যা আমরা মার্চ 2018 এ প্রকাশ করেছি, এখনও দ্বিতীয় পর্যায়ের ডাম্পের জন্য কাজ করে।

দ্বিতীয় পর্যায়ে

উপাদান অপসারণ

ফাইল এবং ডিরেক্টরির নামগুলি গতিশীলভাবে নির্বাচিত হয়। কোডটি এলোমেলোভাবে এক্সিকিউটেবল বা DLL ফাইলের নাম নির্বাচন করে C:Windowssystem32. এটি তখন তার সংস্থানগুলির জন্য একটি অনুরোধ করে এবং ক্ষেত্রটি পুনরুদ্ধার করে FileDescription ফোল্ডারের নাম হিসাবে ব্যবহার করতে। যদি এটি কাজ না করে, কোডটি এলোমেলোভাবে ডিরেক্টরি থেকে একটি ফোল্ডারের নাম নির্বাচন করে %ProgramFiles% বা C:Windows (из GetWindowsDirectoryW). Он избегает использования имени, которое может конфликтовать с существующими файлами, и следит за тем, чтобы оно не содержало следующие слова: windows, Microsoft, desktop, system, system32 বা syswow64. যদি ডিরেক্টরিটি আগে থেকেই থাকে, তাহলে নামের সাথে "NLS_{6 অক্ষর}" যুক্ত করা হয়।

সংস্থান 0x102 বিশ্লেষণ করা হয় এবং ফাইল ডাম্প করা হয় %ProgramFiles% বা %AppData%, এলোমেলোভাবে নির্বাচিত ফোল্ডারে। একই মান থাকতে সৃষ্টির সময় পরিবর্তন করা হয়েছে kernel32.dll.

উদাহরণস্বরূপ, এখানে এক্সিকিউটেবল নির্বাচন করে তৈরি করা ফাইলগুলির ফোল্ডার এবং তালিকা রয়েছে C:Windowssystem32TCPSVCS.exe একটি তথ্য উৎস হিসাবে।

চিত্র 6. বিভিন্ন উপাদান নিষ্কাশন

সম্পদ কাঠামো 0x102 একটি ড্রপার মধ্যে বেশ জটিল. সংক্ষেপে, এতে রয়েছে:
- ফাইলের নাম
- ফাইলের আকার এবং বিষয়বস্তু
- কম্প্রেশন বিন্যাস (COMPRESSION_FORMAT_LZNT1, ফাংশন দ্বারা ব্যবহৃত RtlDecompressBuffer)

প্রথম ফাইল হিসাবে রিসেট করা হয় TCPSVCS.exe, যা বৈধ AcroTranscoder.exe (অনুসারে FileDescription, SHA-1: 2896738693A8F36CC7AD83EF1FA46F82F32BE5A3).

আপনি হয়তো লক্ষ্য করেছেন যে কিছু DLL ফাইল 11 MB এর থেকে বড়। এর কারণ হল এক্সিকিউটেবল ফাইলের ভিতরে র্যান্ডম ডেটার একটি বড় সংলগ্ন বাফার স্থাপন করা হয়। এটা সম্ভব যে এটি কিছু নিরাপত্তা পণ্য দ্বারা সনাক্তকরণ এড়ানোর একটি উপায়।

দৃঢ়তা নিশ্চিত করা

সংস্থান 0x101 ড্রপারে দুটি 32-বিট পূর্ণসংখ্যা রয়েছে যা নির্দিষ্ট করে যে কীভাবে অধ্যবসায় প্রদান করা উচিত। ম্যালওয়্যারটি প্রশাসকের অধিকার ছাড়া কীভাবে টিকে থাকবে তা প্রথমটির মানটি নির্দিষ্ট করে৷

সারণি 1. প্রশাসকের অধিকার ছাড়া অধ্যবসায় প্রক্রিয়া

দ্বিতীয় পূর্ণসংখ্যার মান সুনির্দিষ্ট করে কিভাবে ম্যালওয়্যার প্রশাসকের অধিকারের সাথে চলার সময় স্থিরতা অর্জন করা উচিত।

সারণি 2. প্রশাসকের অধিকার সহ অধ্যবসায় প্রক্রিয়া

পরিষেবার নাম হল এক্সটেনশন ছাড়া ফাইলের নাম; প্রদর্শনের নামটি ফোল্ডারের নাম, কিন্তু যদি এটি ইতিমধ্যেই বিদ্যমান থাকে তবে স্ট্রিংটি "এর সাথে যুক্ত করা হয়Revision 1” (একটি অব্যবহৃত নাম না পাওয়া পর্যন্ত সংখ্যা বৃদ্ধি পায়)। অপারেটররা নিশ্চিত করেছে যে পরিষেবাটির মাধ্যমে স্থিরতা শক্তিশালী ছিল - ব্যর্থতার ক্ষেত্রে, পরিষেবাটি 1 সেকেন্ড পরে পুনরায় চালু করা উচিত। তারপর মান WOW64 নতুন পরিষেবার রেজিস্ট্রি কী 4 তে সেট করা হয়েছে, এটি নির্দেশ করে যে এটি একটি 32-বিট পরিষেবা৷

একটি নির্ধারিত কাজ বিভিন্ন COM ইন্টারফেসের মাধ্যমে তৈরি করা হয়: ITaskScheduler, ITask, ITaskTrigger, IPersistFile и ITaskScheduler. মূলত, ম্যালওয়্যার একটি লুকানো কাজ তৈরি করে, বর্তমান ব্যবহারকারী বা প্রশাসকের তথ্য সহ অ্যাকাউন্ট তথ্য সেট করে এবং তারপর ট্রিগার সেট করে।

এটি একটি দৈনিক কাজ যার সময়কাল 24 ঘন্টা এবং 10 মিনিটের দুটি মৃত্যুদন্ডের মধ্যে বিরতি, যার মানে এটি ক্রমাগত চলবে।

দূষিত বিট

আমাদের উদাহরণে, এক্সিকিউটেবল ফাইল TCPSVCS.exe (AcroTranscoder.exe) হল বৈধ সফ্টওয়্যার যা এর সাথে রিসেট করা DLL লোড করে। এই ক্ষেত্রে, এটি আগ্রহের বিষয় Flash Video Extension.dll.

এর ফাংশন DLLMain শুধু অন্য ফাংশন কল. কিছু অস্পষ্ট পূর্বাভাস উপস্থিত রয়েছে:

চিত্র 7. অস্পষ্ট ভবিষ্যদ্বাণী

এই বিভ্রান্তিকর চেকগুলির পরে, কোডটি একটি বিভাগ পায় .text ফাইল TCPSVCS.exe, এর প্রতিরক্ষা পরিবর্তন করে PAGE_EXECUTE_READWRITE এবং ডামি নির্দেশাবলী যোগ করে এটি পুনরায় লিখুন:

চিত্র 8. নির্দেশাবলীর ক্রম

শেষে ফাংশন ঠিকানা FLVCore::Uninitialize(void), রপ্তানি করা হয়েছে Flash Video Extension.dll, নির্দেশ যোগ করা হয় CALL. এর অর্থ হল দূষিত DLL লোড হওয়ার পরে, যখন রানটাইম কল করে WinMain в TCPSVCS.exe, নির্দেশ নির্দেশক NOP নির্দেশ করবে, যার ফলে FLVCore::Uninitialize(void), পরবর্তী ধাপে.

ফাংশনটি সহজভাবে শুরু করে একটি মিউটেক্স তৈরি করে {181C8480-A975-411C-AB0A-630DB8B0A221}বর্তমান ব্যবহারকারীর নাম অনুসরণ করে। এটি তারপর ডাম্প করা *.db3 ফাইলটি পড়ে, যেটিতে অবস্থান-স্বাধীন কোড রয়েছে এবং এটি ব্যবহার করে CreateThread বিষয়বস্তু কার্যকর করতে।

*.db3 ফাইলের বিষয়বস্তু হল শেলকোড যা OceanLotus গ্রুপ সাধারণত ব্যবহার করে। আমরা প্রকাশিত এমুলেটর স্ক্রিপ্ট ব্যবহার করে আমরা আবার সফলভাবে এর পেলোড আনপ্যাক করেছি গিটহাবে.

স্ক্রিপ্ট চূড়ান্ত পর্যায়ে নির্যাস. এই উপাদানটি একটি ব্যাকডোর, যা আমরা ইতিমধ্যে বিশ্লেষণ করেছি পূর্ববর্তী OceanLotus গবেষণা. এটি GUID দ্বারা নির্ধারণ করা যেতে পারে {A96B020F-0000-466F-A96D-A91BBF8EAC96} বাইনারি ফাইল. ম্যালওয়্যার কনফিগারেশন এখনও PE রিসোর্সে এনক্রিপ্ট করা আছে। এটির প্রায় একই কনফিগারেশন রয়েছে, তবে C&C সার্ভারগুলি পূর্ববর্তীগুলির থেকে আলাদা:

- andreagahuvrauvin[.]com - byronorenstein[.]com - stienollmache[.]xyz

OceanLotus দল আবার সনাক্তকরণ এড়াতে বিভিন্ন কৌশলের সংমিশ্রণ প্রদর্শন করে। তারা সংক্রমণ প্রক্রিয়ার একটি "পরিমার্জিত" চিত্র নিয়ে ফিরে এসেছে। এলোমেলো নাম নির্বাচন করে এবং এলোমেলো ডেটা দিয়ে এক্সিকিউটেবলগুলি পূরণ করে, তারা নির্ভরযোগ্য IoC-এর সংখ্যা হ্রাস করে (হ্যাশ এবং ফাইলের নামের উপর ভিত্তি করে)। অধিকন্তু, তৃতীয় পক্ষের DLL লোডিং ব্যবহারের জন্য ধন্যবাদ, আক্রমণকারীদের শুধুমাত্র বৈধ বাইনারি অপসারণ করতে হবে AcroTranscoder.

স্ব-নিষ্কাশন সংরক্ষণাগার

RTF ফাইলের পরে, গ্রুপটি ব্যবহারকারীকে আরও বিভ্রান্ত করতে সাধারণ ডকুমেন্ট আইকন সহ সেলফ-এক্সট্র্যাক্টিং (SFX) সংরক্ষণাগারে চলে যায়। হুমকি বই এ সম্পর্কে লিখেছেন (চীনা ভাষায় লিঙ্ক) লঞ্চের পরে, স্ব-নিষ্কাশনকারী RAR ফাইলগুলি বাদ দেওয়া হয় এবং একটি .ocx এক্সটেনশন সহ DLLগুলি কার্যকর করা হয়, যার চূড়ান্ত পেলোড পূর্বে নথিভুক্ত করা হয়েছে। {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll. জানুয়ারী 2019 এর মাঝামাঝি থেকে, OceanLotus এই কৌশলটি পুনরায় ব্যবহার করছে, কিন্তু সময়ের সাথে সাথে কিছু কনফিগারেশন পরিবর্তন করছে। এই বিভাগে আমরা কৌশল এবং পরিবর্তন সম্পর্কে কথা বলব।

একটি লোভ তৈরি করা

দলিল THICH-THONG-LAC-HANH-THAP-THIEN-VIET-NAM (1).EXE (SHA-1: AC10F5B1D5ECAB22B7B418D6E98FA18E32BBDEAB) 2018 সালে প্রথম পাওয়া গিয়েছিল। এই SFX ফাইলটি বুদ্ধিমানের সাথে তৈরি করা হয়েছে - বর্ণনায় (ভার্সন সম্পর্কিত তথ্য) এটি বলে যে এটি একটি JPEG চিত্র। SFX স্ক্রিপ্ট এই মত দেখায়:

চিত্র 9. SFX কমান্ড

ম্যালওয়্যার রিসেট করে {9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (SHA-1: EFAC23B0E6395B1178BCF7086F72344B24C04DCC), সেইসাথে একটি ছবি 2018 thich thong lac.jpg.

ডিকয় ইমেজ এই মত দেখায়:

চিত্র 10. ডিকয় ইমেজ

আপনি হয়তো লক্ষ্য করেছেন যে SFX স্ক্রিপ্টের প্রথম দুটি লাইন OCX ফাইলটিকে দুবার কল করে, কিন্তু এটি একটি ত্রুটি নয়।

{9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (ShLd.dll)

একটি OCX ফাইলের নিয়ন্ত্রণ প্রবাহ অন্যান্য OceanLotus উপাদানগুলির সাথে খুব মিল - অনেক কমান্ড সিকোয়েন্স JZ/JNZ и PUSH/RET, আবর্জনা কোড সঙ্গে পর্যায়ক্রমে.

চিত্র 11. অস্পষ্ট কোড

জাঙ্ক কোড ফিল্টার করার পরে, রপ্তানি করুন DllRegisterServer, বলা হয় regsvr32.exe, নিম্নরূপ:

চিত্র 12. মৌলিক ইনস্টলার কোড

মূলত, প্রথম কলে DllRegisterServer এক্সপোর্ট রেজিস্ট্রি মান সেট করে HKCUSOFTWAREClassesCLSID{E08A0F4B-1F65-4D4D-9A09-BD4625B9C5A1}Model DLL এ এনক্রিপ্ট করা অফসেটের জন্য (0x10001DE0).

যখন ফাংশনটিকে দ্বিতীয়বার বলা হয়, তখন এটি একই মান পড়ে এবং সেই ঠিকানায় কার্যকর করে। এখান থেকে রিসোর্স এবং র‍্যামের অনেক অ্যাকশন রিড এবং এক্সিকিউট করা হয়।

শেলকোড হল একই PE লোডার যা অতীতের OceanLotus প্রচারাভিযানে ব্যবহৃত হয়েছিল। এটি ব্যবহার করে অনুকরণ করা যেতে পারে আমাদের স্ক্রিপ্ট. শেষ পর্যন্ত সে রিসেট করে db293b825dcc419ba7dc2c49fa2757ee.dll, এটি মেমরিতে লোড করে এবং কার্যকর করে DllEntry.

DLL এর রিসোর্সের বিষয়বস্তু বের করে, ডিক্রিপ্ট করে (AES-256-CBC) এবং ডিকম্প্রেস করে (LZMA)। সম্পদের একটি নির্দিষ্ট বিন্যাস রয়েছে যা ডিকম্পাইল করা সহজ।

চিত্র 13. ইনস্টলার কনফিগারেশন কাঠামো (KaitaiStruct Visualizer)

কনফিগারেশনটি স্পষ্টভাবে উল্লেখ করা হয়েছে - বিশেষাধিকার স্তরের উপর নির্ভর করে, বাইনারি ডেটা লেখা হবে %appdata%IntellogsBackgroundUploadTask.cpl বা %windir%System32BackgroundUploadTask.cpl (বা SysWOW64 64-বিট সিস্টেমের জন্য)।

নামের সাথে একটি টাস্ক তৈরি করে আরও দৃঢ়তা নিশ্চিত করা হয় BackgroundUploadTask[junk].jobযেখানে [junk] বাইটের একটি সেট প্রতিনিধিত্ব করে 0x9D и 0xA0.

টাস্ক অ্যাপ্লিকেশনের নাম %windir%System32control.exe, এবং প্যারামিটার মান হল ডাউনলোড করা বাইনারি ফাইলের পথ। লুকানো কাজ প্রতিদিন চলে।

কাঠামোগতভাবে, একটি CPL ফাইল একটি অভ্যন্তরীণ নাম সহ একটি DLL ac8e06de0a6c4483af9837d96504127e.dll, যা একটি ফাংশন রপ্তানি করে CPlApplet. এই ফাইলটি তার একমাত্র সম্পদ ডিক্রিপ্ট করে {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll, তারপর এই DLL লোড করে এবং এর একমাত্র রপ্তানি কল করে DllEntry.

ব্যাকডোর কনফিগারেশন ফাইল

ব্যাকডোর কনফিগারেশন এনক্রিপ্ট করা হয়েছে এবং এর রিসোর্সে এম্বেড করা আছে। কনফিগারেশন ফাইলের গঠন আগেরটির মতোই।

চিত্র 14. ব্যাকডোর কনফিগারেশন স্ট্রাকচার (KaitaiStruct Visualizer)

যদিও গঠনটি একই রকম, অনেক ক্ষেত্রের মানগুলি যা দেখানো হয়েছে তা থেকে আপডেট করা হয়েছে আমাদের পুরানো প্রতিবেদন.

বাইনারি অ্যারের প্রথম উপাদানটিতে একটি DLL রয়েছে (HttpProv.dll MD5: 2559738D1BD4A999126F900C7357B759), টেনসেন্ট দ্বারা চিহ্নিত. কিন্তু যেহেতু রপ্তানির নামটি বাইনারি থেকে মুছে ফেলা হয়েছে, হ্যাশগুলি মেলে না।

অতিরিক্ত গবেষণা

নমুনা সংগ্রহ করার সময়, আমরা কিছু বৈশিষ্ট্য লক্ষ্য করেছি। এইমাত্র বর্ণিত নমুনাটি জুলাই 2018 এর আশেপাশে উপস্থিত হয়েছিল এবং এর মতো অন্যান্যগুলি সম্প্রতি জানুয়ারী মাসের মাঝামাঝি থেকে ফেব্রুয়ারি 2019 এর প্রথম দিকে প্রদর্শিত হয়েছিল। SFX সংরক্ষণাগারটি একটি সংক্রমণ ভেক্টর হিসাবে ব্যবহার করা হয়েছিল, একটি বৈধ ডিকয় নথি এবং একটি দূষিত OSX ফাইল বাদ দিয়েছিল।

যদিও OceanLotus জাল টাইমস্ট্যাম্প ব্যবহার করে, আমরা লক্ষ্য করেছি যে SFX এবং OCX ফাইলগুলির টাইমস্ট্যাম্প সবসময় একই (0x57B0C36A (08/14/2016 @ 7:15pm ইউটিসি) এবং 0x498BE80F (02/06/2009 @ 7:34am UTC) যথাক্রমে)। এটি সম্ভবত নির্দেশ করে যে লেখকদের কিছু ধরণের "ডিজাইনার" আছে যা একই টেমপ্লেট ব্যবহার করে এবং কেবল কিছু বৈশিষ্ট্য পরিবর্তন করে।

2018 সালের শুরু থেকে আমরা যে নথিগুলি অধ্যয়ন করেছি তার মধ্যে, আক্রমণকারীদের আগ্রহের দেশগুলিকে নির্দেশ করে এমন বিভিন্ন নাম রয়েছে:

— কম্বোডিয়া মিডিয়ার নতুন যোগাযোগের তথ্য(New).xls.exe
— 李建香 (个人简历).exe (একটি সিভির নকল পিডিএফ নথি)
— প্রতিক্রিয়া, 28-29 জুলাই, 2018.exe থেকে মার্কিন যুক্তরাষ্ট্রে সমাবেশ

যেহেতু পিছনের দরজাটি আবিষ্কার করা হয়েছিল {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll এবং বেশ কিছু গবেষকের দ্বারা এর বিশ্লেষণের প্রকাশনা, আমরা ম্যালওয়্যার কনফিগারেশন ডেটাতে কিছু পরিবর্তন লক্ষ্য করেছি।

প্রথমত, লেখকরা সাহায্যকারী DLLs থেকে নাম মুছে ফেলতে শুরু করেন (DNSprov.dll এবং দুটি সংস্করণ HttpProv.dll) অপারেটররা তখন তৃতীয় DLL প্যাকেজিং বন্ধ করে দেয় (দ্বিতীয় সংস্করণ HttpProv.dll), শুধুমাত্র একটি এম্বেড করতে বেছে নিন।

দ্বিতীয়ত, অনেকগুলি ব্যাকডোর কনফিগারেশন ক্ষেত্র পরিবর্তন করা হয়েছিল, অনেকগুলি আইওসি উপলব্ধ হওয়ার কারণে সনাক্তকরণ এড়াতে পারে৷ লেখকদের দ্বারা সংশোধিত গুরুত্বপূর্ণ ক্ষেত্রগুলির মধ্যে রয়েছে:

AppX রেজিস্ট্রি কী পরিবর্তিত হয়েছে (IoCs দেখুন)
mutex এনকোডিং স্ট্রিং ("def", "abc", "ghi")
পোর্ট নাম্বার

অবশেষে, বিশ্লেষণ করা সমস্ত নতুন সংস্করণে IoCs বিভাগে তালিকাভুক্ত নতুন C&C আছে।

তথ্যও

OceanLotus বিকাশ অব্যাহত. সাইবার গ্রুপটি সরঞ্জাম এবং ডিকয়গুলিকে পরিমার্জন এবং প্রসারিত করার উপর দৃষ্টি নিবদ্ধ করে৷ লেখক মনোযোগ আকর্ষণকারী নথি ব্যবহার করে দূষিত পেলোড ছদ্মবেশ ধারণ করেন যার বিষয় অভিপ্রেত শিকারদের সাথে প্রাসঙ্গিক। তারা নতুন স্কিম তৈরি করে এবং সর্বজনীনভাবে উপলব্ধ সরঞ্জামগুলিও ব্যবহার করে, যেমন সমীকরণ সম্পাদক শোষণ। অধিকন্তু, তারা ক্ষতিগ্রস্তদের মেশিনে অবশিষ্ট আর্টিফ্যাক্টের সংখ্যা হ্রাস করার জন্য সরঞ্জামগুলির উন্নতি করছে, যার ফলে অ্যান্টিভাইরাস সফ্টওয়্যার দ্বারা সনাক্তকরণের সম্ভাবনা হ্রাস করা হচ্ছে।