ืืคืืกื ืื ื ืกืคืจ ืืื ืืืฆื ืงืืืฆืช ืืกืืืืจ OceanLotus (APT32 ื-APT-C-00) ืืฉืชืืฉื ืืืืจืื ื ืืืื ืืื ืืฆืืืื ืืืืื ืื ืืฆืืืืจ ืขืืืจ
OceanLotus ืืชืืื ืืจืืืื ืกืืืืจ, ืืืฉืจ ืืขืื ืืขืืืคืืช ืื ืืืื ืืช ืืืจืื ืืืจื ืืกืื. ืืชืืงืคืื ืืืืืคืื ืืกืืืื ืฉืืืฉืืื ืืช ืชืฉืืืช ืืื ืฉื ืงืืจืื ืืช ืคืืื ืฆืืืืืื ืืื ืืฉืื ืข ืืืชื ืืืฆืข ืืช ืืืืช ืืืืืจืืช, ืืขืืืืื ืื ืขื ืคืืชืื ืืืื. ืืฉืืืืช ืืืฉืืฉืืช ืืืฆืืจืช ืขืฆืืฆื ืืืฉ ืืฉืชื ืืช ืืื ืืชืงืคืืช, ืืงืืฆื "ืกืืืืช ืืคืืื", ืืจืืืื ืื ืืืืืืฅ ืขืฆืื, ืืกืืืื ืขื ืคืงืืืืช ืืืงืจื ืืขื ืื ืืฆืื ืืืืข.
ืฉืืืืฉ ื-exploit ื-Microsoft Equation Editor
ืืืืฆืข 2018, OceanLotus ืขืจืื ืงืืคืืื ืืื ืฆื ืืช ืืคืืืขืืช ืฉื CVE-2017-11882. ืืื ืืืกืืืื ืืืืื ืืื ืฉื ืงืืืฆืช ืืกืืืืจ ื ืืชื ืขื ืืื ืืืืืื ืืืจืื 360 Threat Intelligence (
ืืฉืื ืืจืืฉืื
ืืืกืื FW Report on demonstration of former CNRP in Republic of Korea.doc
(SHA-1: D1357B284C951470066AAA7A8228190B88A5C7C3
) ืืืื ืืื ืฉืืืืืจ ืืืืงืจ ืืืขืื. ืื ืืขื ืืื ืื ืืื ืืืืขื ืืืฉืชืืฉืื ืืืชืขื ืืื ืื ืืคืืืืืืงื ืงืืืืืืช (CNRP - ืืคืืืช ืืืฆืื ืืืืืืืช ืฉื ืงืืืืืื, ืคืืจืงื ืืกืืฃ 2017). ืืืจืืช ืกืืืืช doc, ืืืกืื ืืื ืืคืืจืื RTF (ืจืื ืชืืื ื ืืืื), ืืืื ืงืื ืืื ืืื ืืขืืืช.
ืืืืจ 1. "ืืื" ื-RTF
ืืืจืืช ืฉืืฉ ืืืื ืืื ืืฉืืืฉืื, Word ืคืืชื ืืช ืงืืืฅ ื-RTF ืืื ืืืฆืืื. ืืคื ืฉื ืืชื ืืจืืืช ืืืืืจ 2, ืืฉ ืืื ื EQNOLEFILEHDR ืืืืกื 0xC00, ืืืืจืื ืืืชืจืช MTEF, ืืืืืจ ืืื ืขืจื MTEF (ืืืืจ 3) ืขืืืจ ืืืืคื.
ืืืืจ 2. ืขืจืื ืืื ืช ืืืคื
ืืืืืจ 3.
ืืฆืคื ืืคืฉืจืืช ืืฉืื ืฉื, ืื ืืืืื ืฉืื ืื ื ืืืง ืืคื ื ืืืขืชืงื. ืฉื ืืจืื ืืื ืืืจื ืืคืืืขืืช. ืืคื ืฉื ืืชื ืืจืืืช ืืชืืื ืงืืืฅ ื-RTF (ืืืกื 0xC26 ืืืืืจ 2), ืืืืืจ ืืื ืืงืื ืืขืืคืช ืืืืจืื ืคืงืืืช ืืื (0x90
) ืืืชืืืช ืืืืจื 0x402114
. ืืืชืืืช ืืื ืจืืื ืื-ืฉืื ื EQNEDT32.exe
, ืืืฆืืื ืืืจืืืช RET
. ืื ืืืจื ื-EIP ืืืฆืืืข ืขื ืชืืืืช ืืฉืื ืฉืืืืืื ืืช ืงืื ืืืขืืคืช.
ืืืืจ 4. ืชืืืืช ืงืื ื-exploit shell
ืืชืืืช 0x45BD3C
ืืืืกื ืืฉืชื ื ืฉืืืฆื ืืืืคื ืื ืขื ืฉืืื ืืืืข ืืืฆืืืข ืืืื ื ืฉื ืืขื ืืขืช MTEFData
. ืฉืืจ ืงืื ืืืขืืคืช ื ืืฆื ืืื.
ืืืจืช ื- shellcode ืืื ืืืฆืข ืืช ืืงืืข ืืฉื ื ืฉื shellcode ืืืืืืข ืืืกืื ืืคืชืื. ืงืื ืืืขืืคืช ืืืงืืจื ืื ืกื ืชืืืื ืืืฆืื ืืช ืืชืืจ ืืงืืืฅ ืฉื ืืืกืื ืืคืชืื ืขื ืืื ืืืืจืฆืื ืขื ืื ืืชืืจื ืืืขืจืืช (NtQuerySystemInformation
ืขื ืืืขืื SystemExtendedHandleInformation
) ืืืืืง ืื ืื ืชืืืืื ืื"ืฉ ืืชืืจ ื ืื"ืฉ ืชืืืื WinWord
ืืืื ืืืกืื ื ืคืชื ืขื ืืกืืืช ืืืฉื - 0x12019F
.
ืืื ืืืืื ืฉื ืืฆืื ืืืืืช ืื ืืื ื (ืืื ืืืืืช ืืืกืื ืคืชืื ืืืจ), ืชืืื ืืงืืืฅ ืืืฆื ืืืืฆืขืืช ืืคืื ืงืฆืื CreateFileMapping
, ืืงืื ืืืขืืคืช ืืืืง ืื ืืจืืขืช ืืืืืืื ืืืืจืื ืื ืฉื ืืืกืื ืชืืืืื "yyyy
"(ืฉืืืช ืฆืื ืืืฆืื). ืืจืืข ืฉื ืืฆื ืืชืืื, ืืืกืื ืืืขืชืง ืืชืืงืื ืืื ืืช (GetTempPath
) ืืื ole.dll
. ืืืืจ ืืื ืงืืจืืื ืืช 12 ืืืืืืื ืืืืจืื ืื ืฉื ืืืกืื.
ืืืืจ 5. ืกืื ื ืกืืฃ ืืกืื
ืขืจื 32 ืกืืืืืช ืืื ืกืื ืื AABBCCDD
ะธ yyyy
ืืื ืืืืกื ืฉื ืงืื ืืืขืืคืช ืืื. ืื ื ืงืจื ืฉืืืืฉ ืืคืื ืงืฆืื CreateThread
. ืืืืฅ ืืช ืืืชื ืงืื ืืขืืคืช ืฉืฉืืืฉ ืืช ืงืืืฆืช OceanLotus ืงืืื ืืื.
ืืฉืื ืืฉื ื
ืืกืจืช ืจืืืืื
ืฉืืืช ืงืืฆืื ืืกืคืจืืืช ื ืืืจืื ืืืืคื ืืื ืื. ืืงืื ืืืืจ ืืืงืจืื ืืช ืืฉื ืฉื ืงืืืฅ ืืืคืขืื ืื ื-DLL ื C:Windowssystem32
. ืืืืจ ืืื ืืื ืืืืฉ ืืงืฉื ืืืฉืืืื ืฉืื ืืืืืืจ ืืช ืืฉืื FileDescription
ืืฉืืืืฉ ืืฉื ืืชืืงืื. ืื ืื ืื ืขืืื, ืืงืื ืืืืจ ืืืงืจืื ืฉื ืชืืงืื ืืืกืคืจืืืช %ProgramFiles%
ืื C:Windows
(ืืชืื GetWindowsDirectoryW). ืืื ื ืื ืข ืืฉืืืืฉ ืืฉื ืฉืขืืื ืืืชื ืืฉ ืขื ืงืืฆืื ืงืืืืื ืืืืืื ืฉืืื ืืื ื ืืืื ืืช ืืืืืื ืืืืืช: windows
, Microsoft
, desktop
, system
, system32
ืื syswow64
. ืื ืืกืคืจืืื ืืืจ ืงืืืืช, "NLS_{6 ืชืืืื}" ืืฆืืจืฃ ืืฉื.
ืืฉืื 0x102
ืื ืืชื ืืงืืฆืื ืืืฉืืืื ืืชืื %ProgramFiles%
ืื %AppData%
, ืืชืืงืื ืฉื ืืืจื ืืืงืจืื. ืฉืื ื ืืช ืืื ืืืฆืืจื ืืื ืืงืื ืืช ืืืชื ืขืจืืื ืืื kernel32.dll
.
ืืืืืื, ืื ื ืืชืืงืื ืืจืฉืืืช ืืงืืฆืื ืฉื ืืฆืจื ืขื ืืื ืืืืจืช ืงืืืฅ ืืืคืขืื C:Windowssystem32TCPSVCS.exe
ืืืงืืจ ื ืชืื ืื.
ืืืืจ 6. ืืืืืฅ ืจืืืืื ืฉืื ืื
ืืื ื ืืฉืืืื 0x102
ืืืคืืคืช ืื ืื ืืืจืื. ืืงืืฆืืจ, ืืื ืืืื:
- ืฉืืืช ืงืืฆืื
- ืืืื ืงืืืฅ ืืชืืื
- ืคืืจืื ืืืืกื (COMPRESSION_FORMAT_LZNT1
, ืืืฉืืฉ ืืช ืืคืื ืงืฆืื RtlDecompressBuffer
)
ืืงืืืฅ ืืจืืฉืื ืืืืคืก ื TCPSVCS.exe
, ืืื ืืืืืืื AcroTranscoder.exe
(ืืคื FileDescription
, SHA-1: 2896738693A8F36CC7AD83EF1FA46F82F32BE5A3
).
ืืืื ืฉืืชื ืื ืฉืืืง ืืงืืืฆื ื-DLL ืืืืืื ื-11 ืืื-ืืืื. ืืกืืื ืืื ืืื ืฉืืืืจ ืจืฆืืฃ ืืืื ืฉื ื ืชืื ืื ืืงืจืืืื ืืืืงื ืืชืื ืงืืืฅ ืืืคืขืื. ืืืชืื ืฉืื ืืจื ืืืืื ืข ืืืืืื ืขื ืืื ืืืง ืืืืฆืจื ืืืืื.
ืืืืืช ืืชืืื
ืืฉืื 0x101
ื-dropper ืืืื ืฉื ื ืืกืคืจืื ืฉืืืื ืฉื 32 ืกืืืืืช ืืืฆืืื ืื ืืืฆื ืืฉ ืืกืคืง ืืชืืื. ืืขืจื ืฉื ืืจืืฉืื ืืฆืืื ืืืฆื ืืชืืื ื ืืืืื ืืช ืชืืืฉื ืืื ืืืืืืช ืื ืื.
ืืืื 1. ืื ืื ืื ืืชืืื ืืื ืืืืืืช ืื ืื
ืืขืจื ืฉื ืืืกืคืจ ืืฉืื ืืฉื ื ืืฆืืื ืืืฆื ืขื ืืชืืื ื ืืืืื ืืช ืืืฉืื ืืชืืื ืืืฉืจ ืืื ืคืืขืืช ืขื ืืืืืืช ืื ืื.
ืืืื 2. ืื ืื ืื ืืชืืื ืขื ืืืืืืช ืื ืื
ืฉื ืืฉืืจืืช ืืื ืฉื ืืงืืืฅ ืืื ืกืืืืช; ืฉื ืืชืฆืืื ืืื ืฉื ืืชืืงืื, ืื ืื ืืื ืืืจ ืงืืืืช, ืืืืจืืืช "ืืฆืืจืฃ ืืืืRevision 1
โ (ืืืกืคืจ ืืื ืขื ืฉื ืืฆื ืฉื ืฉืืื ื ืืฉืืืืฉ). ืืืคืขืืืื ืืืื ืฉืืืชืืื ืืฉืืจืืช ืชืืื ืืืงื - ืืืงืจื ืฉื ืืฉื, ืืฉ ืืืคืขืื ืืช ืืฉืืจืืช ืืืืฉ ืืืืจ ืฉื ืืื ืืืช. ืืื ืืขืจื WOW64
ืืคืชื ืืจืืฉืื ืฉื ืืฉืืจืืช ืืืืฉ ืืืืืจ ื-4, ืื ืฉืืฆืืื ืฉืืืืืจ ืืฉืืจืืช ืฉื 32 ืกืืืืืช.
ืืฉืืื ืืชืืืื ืช ื ืืฆืจืช ืืืืฆืขืืช ืืกืคืจ ืืืฉืงื COM: ITaskScheduler
, ITask
, ITaskTrigger
, IPersistFile
ะธ ITaskScheduler
. ืืขืืงืจื ืฉื ืืืจ, ืืชืืื ื ืืืืื ืืช ืืืฆืจืช ืืฉืืื ื ืกืชืจืช, ืืืืืจื ืืช ืคืจืื ืืืฉืืื ืืื ืขื ืืืืืข ืื ืืืื ืฉื ืืืฉืชืืฉ ืื ืืื ืื, ืืืืืจ ืืื ืืืืืจื ืืช ืืืจืืืจ.
ืืืืืจ ืืืฉืืื ืืืืืช ืืืืจื ืฉื 24 ืฉืขืืช ืืืจืืืืื ืืื ืฉืชื ืืืฆืืขืื ืฉื 10 ืืงืืช, ืืืืืจ ืืื ืชืคืขื ืืจืฆืืคืืช.
ืงืฆืช ืืืื ื
ืืืืืื ืฉืื ื, ืงืืืฅ ืืืคืขืื TCPSVCS.exe
(AcroTranscoder.exe
) ืืื ืชืืื ื ืืืืืืืืช ืฉืืืขื ืช ืงืืืฆื DLL ืฉืืชืืคืกืื ืืื ืืืชื. ืืืงืจื ืื, ืื ืืขื ืืื Flash Video Extension.dll
.
ืืคืื ืงืฆืื ืฉืื DLLMain
ืคืฉืื ืงืืจื ืืคืื ืงืฆืื ืืืจืช. ืืฉื ื ืืื ืคืจืืืงืืื ืืืืฉืืฉืื:
ืืืืจ 7. ืคืจืืืงืืื ืืืืฉืืฉืื
ืืืืจ ืืืืืงืืช ืืืืขืืช ืืืื, ืืงืื ืืงืื ืงืืข .text
ัะฐะนะปะฐ TCPSVCS.exe
, ืืฉื ื ืืช ืืืื ื ืฉืื ื PAGE_EXECUTE_READWRITE
ืืืฉืืชื ืืืชื ืืืืฉ ืขื ืืื ืืืกืคืช ืืืจืืืช ืืื:
ืืืืจ 8. ืจืฆืฃ ืืืืจืืืช
ืืกืืฃ ืืืชืืืช ืืคืื ืงืฆืื FLVCore::Uninitialize(void)
, ืืืืฆื Flash Video Extension.dll
, ืืชืืืกืคืช ืืืจืื CALL
. ืืืฉืืขืืช ืืื ืฉืืืจื ืืขืื ืช ื-DLL ืืืืื ื, ืืืฉืจ ืืื ืืจืืฆื ืืชืงืฉืจ WinMain
ะฒ TCPSVCS.exe
, ืืฆืืืข ืืืืจืืืช ืืฆืืืข ืขื NOP, ืื ืฉืืืจื FLVCore::Uninitialize(void)
, ืฉืื ืืื.
ืืคืื ืงืฆืื ืคืฉืื ืืืฆืจืช mutex ืฉืืชืืื ื {181C8480-A975-411C-AB0A-630DB8B0A221}
ืืืืจืื ืฉื ืืืฉืชืืฉ ืื ืืืื. ืืืืจ ืืื, ืืื ืงืืจื ืืช ืงืืืฅ *.db3 ืฉื ืืจืง, ืืืืื ืงืื ืืืชื ืชืืื ืืืืงืื, ืืืฉืชืืฉ CreateThread
ืืืฆืข ืืช ืืชืืื.
ืืชืืื ืฉื ืงืืืฅ *.db3 ืืื ืงืื ืืืขืืคืช ืฉืงืืืฆืช OceanLotus ืืฉืชืืฉืช ืื ืืืจื ืืื. ืฉืื ืคืืจืงื ื ืืืฆืืื ืืช ืืืืขื ืฉืื ืืืืฆืขืืช ืกืงืจืืคื ืืืืืืืืจ ืฉืคืจืกืื ื
ืืชืกืจืื ืืืืฅ ืืช ืืฉืื ืืืืจืื. ืจืืื ืื ืืื ืืืช ืืืืจืืช, ืฉืืืจ ื ืืชืื ื ืื {A96B020F-0000-466F-A96D-A91BBF8EAC96}
ืงืืืฅ ืืื ืืจื. ืชืฆืืจืช ืืชืืื ื ืืืืื ืืช ืขืืืื ืืืฆืคื ืช ืืืฉืื ื-PE. ืืฉ ืื ืืขืจื ืืืชื ืชืฆืืจื, ืืื ืฉืจืชื C&C ืฉืื ืื ืืืงืืืืื:
- andreagahuvrauvin[.]com
- byronorenstein[.]com
- stienollmache[.]xyz
ืฆืืืช OceanLotus ืฉืื ืืืืื ืฉืืืื ืฉื ืืื ืืงืืช ืฉืื ืืช ืืื ืืืืื ืข ืืืืืื. ืื ืืืจื ืขื ืชืจืฉืื "ืืขืืื" ืฉื ืชืืืื ืืืืืงื. ืขื ืืื ืืืืจืช ืฉืืืช ืืงืจืืืื ืืืืืื ืงืืืฆื ืืคืขืื ืื ืชืื ืื ืืงืจืืืื, ืื ืืคืืืชืื ืืช ืืกืคืจ IoCs ืืืื ืื (ืืืชืืกืก ืขื hashes ืืฉืืืช ืงืืฆืื). ืืชืจื ืืื, ืืืืืช ืืฉืืืืฉ ืืืขืื ืช DLL ืฉื ืฆื ืฉืืืฉื, ืืชืืงืคืื ืฆืจืืืื ืืืกืืจ ืจืง ืืช ืืืื ืืจื ืืืืืืืื AcroTranscoder
.
ืืจืืืื ืื ืืืืืืฅ ืขืฆืื
ืืืืจ ืงืืฆื RTF, ืืงืืืฆื ืขืืจื ืืืจืืืื ืื ืืืืืืฅ ืขืฆืื (SFX) ืขื ืกืืื ืืกืืืื ื ืคืืฆืื ืืื ืืืืื ืขืื ืืืชืจ ืืช ืืืฉืชืืฉ. ืกืคืจ ืืืืื ืืชื ืขื ืื ({A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll
. ืืื ืืืฆืข ืื ืืืจ 2019, OceanLotus ืขืืฉื ืฉืืืืฉ ืืืืจ ืืืื ืืงื ืื, ืื ืืฉื ื ืืื ืชืฆืืจืืช ืืืืจื ืืื. ืืืืง ืื ื ืืืจ ืขื ืืืื ืืงื ืืืฉืื ืืืื.
ืืฆืืจืช ืคืืชืื
ืืืกืื THICH-THONG-LAC-HANH-THAP-THIEN-VIET-NAM (1).EXE
(SHA-1: AC10F5B1D5ECAB22B7B418D6E98FA18E32BBDEAB
) ื ืืฆื ืืจืืฉืื ื ื-2018. ืงืืืฅ SFX ืื ื ืืฆืจ ืืืืืื - ืืชืืืืจ (ืคืจืื ืืจืกื) ืืื ืืืืจ ืฉืื ืชืืื ืช JPEG. ืกืงืจืืคื SFX ื ืจืื ืื:
ืืืืจ 9. ืคืงืืืืช SFX
ืืชืืื ื ืืืืื ืืช ืืชืืคืกืช {9ec60ada-a200-4159-b310-8071892ed0c3}.ocx
(SHA-1: EFAC23B0E6395B1178BCF7086F72344B24C04DCC
), ืืื ืื ืชืืื ื 2018 thich thong lac.jpg.
ืชืืื ืช ืืืืขืื ื ืจืืืช ืื:
ืืืืจ 10. ืชืืื ืช ืคืืชืื
ืืืื ืฉืืชื ืื ืฉืฉืชื ืืฉืืจืืช ืืจืืฉืื ืืช ืืกืงืจืืคื SFX ืงืืจืืื ืืงืืืฅ OCX ืคืขืืืื, ืืื ืื ืื ืฉืืืื.
{9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (ShLd.dll)
ืืจืืืช ืืืงืจื ืฉื ืงืืืฅ OCX ืืืื ืืืื ืืจืืืืื ืืืจืื ืฉื OceanLotus - ืจืฆืคื ืคืงืืืืช ืจืืื JZ/JNZ
ะธ PUSH/RET
, ืืกืืจืืืื ืขื ืงืื ืืื.
ืืืืจ 11. ืงืื ืืขืืจืคื
ืืืืจ ืกืื ืื ืงืื ืืื, ืืืฆื DllRegisterServer
, ืฉืงืืจืืื ืื regsvr32.exe
, ื ืจืื ืื:
ืืืืจ 12. ืงืื ืืชืงืื ืืกืืกื
ืืขืฆื, ืืฉืืื ืืจืืฉืื ื DllRegisterServer
ืขืจื ืืจืืฉืื ืฉื ืขืจืืืช ืืืฆืื HKCUSOFTWAREClassesCLSID{E08A0F4B-1F65-4D4D-9A09-BD4625B9C5A1}Model
ืขืืืจ ืืืกื ืืืฆืคื ื-DLL (0x10001DE0
).
ืืืฉืจ ืืคืื ืงืฆืื ื ืงืจืืช ืคืขื ืฉื ืืื, ืืื ืงืืจืืช ืืช ืืืชื ืืขืจื ืืคืืขืืช ืืืชืืืช ืื. ืืืื ืงืืจืืื ืืืืืฆืขืืช ืืืฉืื ืืคืขืืืืช ืจืืืช ื-RAM.
ืงืื ืืืขืืคืช ืืื ืืืชื ืืืขืื PE ืฉืฉืืืฉ ืืงืืคืืื ืื ืงืืืืื ืฉื OceanLotus. ื ืืชื ืืืงืืช ืืืชื ืืืืฆืขืืช db293b825dcc419ba7dc2c49fa2757ee.dll
, ืืืขื ืืืชื ืืืืืจืื ืืืืฆืข DllEntry
.
ื-DLL ืืืืฅ ืืช ืชืืื ืืืฉืื ืฉืื, ืืคืขื ื (AES-256-CBC) ืืืคืจืง (LZMA) ืืืชื. ืืืฉืื ืืฉ ืคืืจืื ืกืคืฆืืคื ืฉืงื ืืคืจืง ืืืชื.
ืืืืจ 13. ืืื ื ืชืฆืืจืช ืืืชืงืื (KaitaiStruct Visualizer)
ืืชืฆืืจื ืืืืืจืช ืืืคืืจืฉ - ืืืชืื ืืจืืช ืืืจืฉืื, ืืืืชืื ื ืชืื ืื ืืื ืืจืืื %appdata%IntellogsBackgroundUploadTask.cpl
ืื %windir%System32BackgroundUploadTask.cpl
(ืื SysWOW64
ืขืืืจ ืืขืจืืืช 64 ืกืืืืืช).
ืืชืืื ื ืืกืคืช ืืืืืืช ืขื ืืื ืืฆืืจืช ืืฉืืื ืขื ืืฉื BackgroundUploadTask[junk].job
ืืืคื [junk]
ืืืืฆื ืงืืืฆื ืฉื ืืชืื 0x9D
ะธ 0xA0
.
ืฉื ืืืฉืื ืืฉืืื %windir%System32control.exe
, ืืขืจื ืืคืจืืืจ ืืื ืื ืชืื ืืงืืืฅ ืืืื ืืจื ืฉืืืจื. ืืืฉืืื ืื ืกืชืจืช ืคืืขืืช ืื ืืื.
ืืืืื ื ืืื ืืช, ืงืืืฅ CPL ืืื DLL ืขื ืฉื ืคื ืืื ac8e06de0a6c4483af9837d96504127e.dll
, ืฉืืืืฆื ืคืื ืงืฆืื CPlApplet
. ืงืืืฅ ืื ืืคืขื ื ืืช ืืืฉืื ืืืืื ืฉืื {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll
, ืืื ืืืขื ืืช ื-DLL ืืื ืืงืืจื ืืืืฆืื ืืืืื ืฉืื DllEntry
.
ืงืืืฅ ืชืฆืืจื ืฉื ืืืช ืืืืจืืช
ืชืฆืืจืช ืืืืช ืืืืืจืืช ืืืฆืคื ืช ืืืืืืขืช ืืืฉืืืื ืฉืื. ืืืื ื ืฉื ืงืืืฅ ืืชืฆืืจื ืืืื ืืืื ืืืื ื ืืงืืื.
ืืืืจ 14. ืืื ื ืชืฆืืจืช ืืืืช ืืืืืจืืช (KaitaiStruct Visualizer)
ืืืจืืช ืฉืืืื ื ืืืื, ืจืืื ืืขืจืื ืืฉืื ืขืืืื ื ืืืื ืืืืฆืืื ื
ืืืืื ื ืืจืืฉืื ืฉื ืืืขืจื ืืืื ืืจื ืืืื DLL (HttpProv.dll
MD5: 2559738D1BD4A999126F900C7357B759
),
ืืืงืจ ื ืืกืฃ
ืืืืื ืืืกืืฃ ืืืืืืืช, ืฉืื ื ืื ืืืื ืืืคืืื ืื. ืืืืืื ืฉืชืืืจื ืื ืขืชื ืืืคืืขื ืืกืืืืืช ืืืื 2018, ืืืืจืืช ืืืืืช ืื ืืืคืืขื ืืืฉ ืืืืฆืข ืื ืืืจ ืขื ืชืืืืช ืคืืจืืืจ 2019. ืืจืืืื SFX ืฉืืืฉ ืืืืงืืืจ ืืืืื, ืืืคืื ืืกืื ืคืชืื ืืืืืืื ืืงืืืฅ OSX ืืืื ื.
ืืืจืืช ืฉ-OceanLotus ืืฉืชืืฉ ืืืืชืืืช ืืื ืืืืืคืืช, ืฉืื ื ืื ืฉืืืชืืืช ืืืื ืฉื ืงืืฆื SFX ื-OCX ืชืืื ืืืืช (0x57B0C36A
(08/14/2016 ืืฉืขื 7:15 UTC) ื 0x498BE80F
(02/06/2009 @ 7:34 UTC) ืืืชืืื). ืื ืื ืจืื ืืฆืืืข ืขื ืื ืฉืืืืชืืื ืืฉ ืกืื ืฉื "ืืขืฆื" ืฉืืฉืชืืฉ ืืืืชื ืชืื ืืืช ืืคืฉืื ืืฉื ื ืืื ืืืคืืื ืื.
ืืื ืืืกืืืื ืฉืืืื ื ืืชืืืืช 2018, ืืฉื ื ืฉืืืช ืฉืื ืื ืืืฆืืื ืื ืืช ืืืืื ืืช ืืืขื ืืื ืืช ืืชืืงืคืื:
- ืคืจืื ืืงืฉืจ ืืืืฉืื ืฉื Cambodia Media(New).xls.exe
โ ๆๅปบ้ฆ (ไธชไบบ็ฎๅ).exe (ืืกืื PDF ืืืืืฃ ืฉื ืงืืจืืช ืืืื)
- ืืฉืื, ืจืืื ืืืจื"ื ืืื ืืชืืจืืืื 28-29 ืืืืื, 2018.exe
ืืื ืืชืืืชื ืืืืช ืืืืืจืืช {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll
ืืคืจืกืื ืื ืืชืื ืฉืื ืขื ืืื ืืกืคืจ ืืืงืจืื, ืจืืื ื ืืื ืฉืื ืืืื ืื ืชืื ื ืืชืฆืืจื ืฉื ืชืืื ืืช ืืืื ืืืช.
ืจืืฉืืช, ืืืืืจืื ืืืื ืืืกืืจ ืฉืืืช ื-DLL ืขืืืจืื (DNSprov.dll
ืืฉืชื ืืจืกืืืช HttpProv.dll
). ืืืคืขืืืื ืืคืกืืงื ืืืจืื ืืช ื-DLL ืืฉืืืฉื (ืืืจืกื ืืฉื ืืื HttpProv.dll
), ืืืืจืช ืืืืืืข ืจืง ืืื.
ืฉื ืืช, ืฉืืืช ืชืฆืืจื ืฉื ืืืช ืืืืจืืช ืจืืื ืฉืื ื, ืืื ืื ืจืื ืืืืืง ืืืืืื ืืื ืฉืืจืื IoCs ืืคืื ืืืืื ืื. ืฉืืืช ืืฉืืืื ืฉืฉืื ื ืขื ืืื ืืืืืจืื ืืืืืื:
- ืืคืชื ืืจืืฉืื ืฉื AppX ืืฉืชื ื (ืจืื IoCs)
- ืืืจืืืช ืงืืืื mutex ("def", "abc", "ghi")
- ืืกืคืจ ืืฆืืื
ืืืกืืฃ, ืืื ืืืจืกืืืช ืืืืฉืืช ืฉื ืืชืื ืืฉ C&Cs ืืืฉืื ืืืคืืจืืื ืืกืขืืฃ IoCs.
ืืืฆืืื
OceanLotus ืืืฉืื ืืืชืคืชื. ืงืืืฆืช ืืกืืืืจ ืืชืืงืืช ืืืืืื ืืืจืืืช ืืืืื ืืืคืืชืืืื. ืืืืจืื ืืกืืืื ืืืขื ืื ืืืื ืืื ืืืืฆืขืืช ืืกืืืื ืืืฉืื ืชืฉืืืช ืื ืฉืื ืืฉื ืฉืืื ืจืืืื ืื ืืงืืจืื ืืช ืืืืืขืืื. ืื ืืคืชืืื ืชืืื ืืืช ืืืฉืืช ืืืฉืชืืฉืื ืื ืืืืื ืืืื ืื ืืฆืืืืจ, ืืื ื-Equation Editor exploit. ืืชืจื ืืื, ืื ืืฉืคืจืื ืืืื ืืืคืืชืช ืืกืคืจ ืืืคืฆืื ืฉื ืืชืจื ืืืืื ืืช ืฉื ืืงืืจืื ืืช, ืืืื ืืคืืืชืื ืืช ืืกืืืื ืืืืืื ืืืืฆืขืืช ืชืืื ืช ืื ืื-ืืืจืืก.
ืืื ืืืงืืืจืื ืฉื ืคืฉืจื
ืืื ืืืงืืืจืื ืฉื ืคืฉืจื ืืื ืื ืชืืื ืืช MITER ATT&CK ืืืื ืื
ืืงืืจ: www.habr.com