🥇ESET៖ គម្រោងដឹកជញ្ជូនតាមទ្វារខាងក្រោយរបស់ OceanLotus ថ្មី

នៅក្នុងការប្រកាសនេះ យើងនឹងប្រាប់អ្នកពីរបៀបដែលក្រុមអ៊ីនធឺណិត OceanLotus (APT32 និង APT-C-00) ថ្មីៗនេះបានប្រើប្រាស់ការកេងប្រវ័ញ្ចដែលមានជាសាធារណៈសម្រាប់ CVE-2017-11882ភាពងាយរងគ្រោះនៃការខូចខាតអង្គចងចាំនៅក្នុង Microsoft Office និងរបៀបដែលមេរោគរបស់ក្រុមនេះសម្រេចបាននូវភាពស្ថិតស្ថេរនៅលើប្រព័ន្ធដែលត្រូវបានសម្របសម្រួលដោយមិនបន្សល់ទុកដាន។ បន្ទាប់ យើងនឹងរៀបរាប់អំពីរបៀបដែលចាប់តាំងពីដើមឆ្នាំ 2019 ក្រុមបាននឹងកំពុងប្រើប្រាស់ប័ណ្ណសារដែលស្រង់ចេញដោយខ្លួនឯងដើម្បីដំណើរការកូដ។

OceanLotus មានឯកទេសខាងចារកម្មតាមអ៊ីនធឺណិត ដោយមានគោលដៅអាទិភាពគឺប្រទេសក្នុងតំបន់អាស៊ីអាគ្នេយ៍។ អ្នកវាយប្រហារក្លែងបន្លំឯកសារដែលទាក់ទាញចំណាប់អារម្មណ៍របស់ជនរងគ្រោះដែលអាចបញ្ចុះបញ្ចូលពួកគេឱ្យប្រតិបត្តិតាមទ្វារខាងក្រោយ ហើយក៏កំពុងធ្វើការលើការបង្កើតឧបករណ៍ផងដែរ។ វិធីសាស្រ្តដែលប្រើដើម្បីបង្កើត Honeypots មានភាពខុសប្លែកគ្នាក្នុងការវាយប្រហារ ចាប់ពីឯកសារ "ការបន្ថែមទ្វេរដង" បណ្ណសារទាញយកដោយខ្លួនឯង ឯកសារដែលមានម៉ាក្រូ រហូតដល់ការកេងប្រវ័ញ្ចដែលគេស្គាល់។

ការប្រើប្រាស់ការកេងប្រវ័ញ្ចនៅក្នុង Microsoft Equation Editor

នៅពាក់កណ្តាលឆ្នាំ 2018 OceanLotus បានធ្វើយុទ្ធនាការមួយដែលទាញយកភាពងាយរងគ្រោះ CVE-2017-11882 ។ ឯកសារព្យាបាទមួយរបស់ក្រុមអ៊ីនធឺណិតត្រូវបានវិភាគដោយអ្នកជំនាញមកពី 360 Threat Intelligence Center (ការស្រាវជ្រាវជាភាសាចិន) រួមទាំងការពិពណ៌នាលម្អិតនៃការកេងប្រវ័ញ្ច។ ការបង្ហោះខាងក្រោមមានទិដ្ឋភាពទូទៅនៃឯកសារព្យាបាទបែបនេះ។

ដំណាក់កាលទី 1

ឯកសារ FW Report on demonstration of former CNRP in Republic of Korea.doc (SHA-1: D1357B284C951470066AAA7A8228190B88A5C7C3) គឺស្រដៀងនឹងអ្វីដែលបានរៀបរាប់ក្នុងការសិក្សាខាងលើ។ វាជារឿងគួរឱ្យចាប់អារម្មណ៍ព្រោះវាមានគោលបំណងឱ្យអ្នកប្រើចាប់អារម្មណ៍លើនយោបាយកម្ពុជា (CNRP - Cambodia National Rescue Party, រំលាយនៅចុងឆ្នាំ 2017) ។ ទោះបីជាផ្នែកបន្ថែម .doc ក៏ដោយ ឯកសារនេះស្ថិតក្នុងទម្រង់ RTF (សូមមើលរូបភាពខាងក្រោម) មានលេខកូដសំរាម ហើយត្រូវបានបង្ខូចទ្រង់ទ្រាយផងដែរ។

រូបភាពទី 1. "សំរាម" នៅក្នុង RTF

ទោះបីជាមានធាតុច្របូកច្របល់ក៏ដោយ Word បើកឯកសារ RTF នេះដោយជោគជ័យ។ ដូចដែលអ្នកអាចឃើញក្នុងរូបភាពទី 2 មានរចនាសម្ព័ន្ធ EQNOLEFILEHDR នៅអុហ្វសិត 0xC00 អមដោយបឋមកថា MTEF ហើយបន្ទាប់មកធាតុ MTEF (រូបភាពទី 3) សម្រាប់ពុម្ពអក្សរ។

រូបភាពទី 2. តម្លៃធាតុ FONT

រូបភាព 3 ។ ទម្រង់ថត FONT

លទ្ធភាពហូរហៀរនៅក្នុងវាល Nameដោយសារតែទំហំរបស់វាមិនត្រូវបានពិនិត្យមុនពេលចម្លង។ ឈ្មោះដែលវែងពេកបង្កឱ្យមានភាពងាយរងគ្រោះ។ ដូចដែលអ្នកអាចមើលឃើញពីមាតិកានៃឯកសារ RTF (អុហ្វសិត 0xC26 ក្នុងរូបភាពទី 2) សតិបណ្ដោះអាសន្នត្រូវបានបំពេញដោយ shellcode បន្តដោយពាក្យបញ្ជាអត់ចេះសោះ (0x90) និងអាសយដ្ឋានត្រឡប់មកវិញ 0x402114. អាសយដ្ឋានគឺជាធាតុប្រអប់មួយនៅក្នុង EQNEDT32.exe, ចង្អុលបង្ហាញការណែនាំ RET. វាបណ្តាលឱ្យ EIP ចង្អុលទៅការចាប់ផ្តើមនៃវាល Nameមានលេខកូដសែល។

រូបភាពទី 4. ការចាប់ផ្តើមនៃកូដសែលកេងប្រវ័ញ្ច

អាសយដ្ឋាន 0x45BD3C រក្សាទុកអថេរដែលត្រូវបានបន្ទាបបន្ថោករហូតដល់វាឈានដល់ទ្រនិចទៅរចនាសម្ព័ន្ធដែលផ្ទុកបច្ចុប្បន្ន MTEFData. លេខកូដសែលដែលនៅសល់គឺនៅទីនេះ។

គោលបំណងនៃ shellcode គឺដើម្បីប្រតិបត្តិបំណែកទីពីរនៃ shellcode ដែលបានបង្កប់នៅក្នុងឯកសារបើកចំហ។ កូដសែលដើមដំបូងព្យាយាមស្វែងរកអ្នកពិពណ៌នាឯកសារនៃឯកសារបើកដោយធ្វើម្តងទៀតលើអ្នកពណ៌នាប្រព័ន្ធទាំងអស់ (NtQuerySystemInformation ជាមួយនឹងអាគុយម៉ង់ SystemExtendedHandleInformation) ហើយពិនិត្យមើលថាតើពួកគេត្រូវគ្នា។ PID អ្នកពិពណ៌នានិង PID ដំណើរការ WinWord ហើយថាតើឯកសារត្រូវបានបើកដោយរបាំងចូល - 0x12019F.

ដើម្បីបញ្ជាក់ថាចំណុចទាញត្រឹមត្រូវត្រូវបានរកឃើញ (ហើយមិនមែនចំណុចទាញទៅឯកសារបើកផ្សេងទៀត) មាតិកាឯកសារត្រូវបានបង្ហាញដោយប្រើមុខងារ CreateFileMappingហើយលេខកូដសែលពិនិត្យមើលថាតើ បួនបៃចុងក្រោយនៃឯកសារត្រូវគ្នា"yyyy» (វិធីសាស្ត្របរបាញ់ស៊ុត)។ នៅពេលរកឃើញការផ្គូផ្គង ឯកសារត្រូវបានចម្លងទៅថតបណ្តោះអាសន្ន (GetTempPath) របៀប ole.dll. បន្ទាប់មក 12 បៃចុងក្រោយនៃឯកសារត្រូវបានអាន។

រូបភាពទី 5. ចុងបញ្ចប់នៃសញ្ញាសម្គាល់ឯកសារ

តម្លៃ 32 ប៊ីតរវាងសញ្ញាសម្គាល់ AABBCCDD и yyyy គឺជាអុហ្វសិតនៃកូដសែលបន្ទាប់។ វាត្រូវបានគេហៅថាដោយប្រើមុខងារ CreateThread. បានស្រង់កូដសែលដូចគ្នាដែលត្រូវបានប្រើដោយក្រុម OceanLotus មុននេះ។ ស្គ្រីបត្រាប់តាម Pythonដែលយើងចេញផ្សាយក្នុងខែមីនា ឆ្នាំ 2018 នៅតែដំណើរការសម្រាប់ការបោះចោលដំណាក់កាលទីពីរ។

ដំណាក់កាលទីពីរ

ការដកសមាសធាតុចេញ

ឈ្មោះឯកសារ និងថតត្រូវបានជ្រើសរើសដោយថាមវន្ត។ កូដជ្រើសរើសដោយចៃដន្យនូវឈ្មោះឯកសារដែលអាចប្រតិបត្តិបាន ឬ DLL ចូល C:Windowssystem32. បន្ទាប់មកវាធ្វើការស្នើសុំទៅកាន់ធនធានរបស់ខ្លួននិងយកវាល FileDescription ដើម្បីប្រើជាឈ្មោះថត។ ប្រសិនបើវាមិនដំណើរការទេ កូដជ្រើសរើសឈ្មោះថតដោយចៃដន្យពីថត %ProgramFiles% ឬ C:Windows (из GetWindowsDirectoryW). Он избегает использования имени, которое может конфликтовать с существующими файлами, и следит за тем, чтобы оно не содержало следующие слова: windows, Microsoft, desktop, system, system32 ឬ syswow64. ប្រសិនបើថតមានរួចហើយ "NLS_{6 តួអក្សរ}" ត្រូវបានបន្ថែមទៅឈ្មោះ។

ធនធាន 0x102 ត្រូវបានវិភាគហើយឯកសារត្រូវបានបោះចោល %ProgramFiles% ឬ %AppData%ទៅកាន់ថតដែលបានជ្រើសរើសដោយចៃដន្យ។ បានផ្លាស់ប្ដូរពេលវេលាបង្កើតឱ្យមានតម្លៃដូចគ្នា។ kernel32.dll.

ឧទាហរណ៍ ខាងក្រោមនេះជាថតឯកសារ និងបញ្ជីឯកសារដែលបានបង្កើតដោយជ្រើសរើសកម្មវិធីដែលអាចប្រតិបត្តិបាន។ C:Windowssystem32TCPSVCS.exe ជាប្រភពទិន្នន័យ។

រូបភាពទី 6. ការស្រង់ចេញនូវសមាសធាតុផ្សេងៗ

រចនាសម្ព័ន្ធធនធាន 0x102 នៅក្នុង dropper គឺស្មុគស្មាញណាស់។ សរុបមក វាមាន៖
- ឈ្មោះឯកសារ
- ទំហំឯកសារ និងខ្លឹមសារ
- ទម្រង់បង្ហាប់ (COMPRESSION_FORMAT_LZNT1ប្រើដោយមុខងារ RtlDecompressBuffer)

ឯកសារដំបូងត្រូវបានកំណត់ឡើងវិញជា TCPSVCS.exeដែលស្របច្បាប់ AcroTranscoder.exe (យោងទៅតាម FileDescription, SHA-1: 2896738693A8F36CC7AD83EF1FA46F82F32BE5A3).

អ្នកប្រហែលជាបានកត់សម្គាល់ឃើញថាឯកសារ DLL ខ្លះមានទំហំធំជាង 11 MB ។ នេះដោយសារតែសតិបណ្ដោះអាសន្នធំនៃទិន្នន័យចៃដន្យត្រូវបានដាក់នៅខាងក្នុងឯកសារដែលអាចប្រតិបត្តិបាន។ វាអាចទៅរួចដែលថានេះគឺជាវិធីមួយដើម្បីជៀសវាងការរកឃើញដោយផលិតផលសុវត្ថិភាពមួយចំនួន។

ធានាការអត់ធ្មត់

ធនធាន 0x101 នៅក្នុង dropper មានចំនួនគត់ 32 ប៊ីតពីរដែលបញ្ជាក់ពីរបៀបដែលការបន្តគួរតែត្រូវបានផ្តល់ឱ្យ។ តម្លៃដំបូងបញ្ជាក់ពីរបៀបដែលមេរោគនឹងបន្តដោយគ្មានសិទ្ធិអ្នកគ្រប់គ្រង។

តារាងទី 1. យន្តការតស៊ូដោយគ្មានសិទ្ធិអ្នកគ្រប់គ្រង

តម្លៃនៃចំនួនគត់ទីពីរបញ្ជាក់ពីរបៀបដែលមេរោគគួរតែសម្រេចបាននូវភាពស្ថិតស្ថេរ នៅពេលដំណើរការជាមួយសិទ្ធិអ្នកគ្រប់គ្រង។

តារាង 2. យន្តការតស៊ូជាមួយសិទ្ធិអ្នកគ្រប់គ្រង

ឈ្មោះសេវាកម្មគឺជាឈ្មោះឯកសារដោយគ្មានផ្នែកបន្ថែម។ ឈ្មោះដែលបង្ហាញគឺជាឈ្មោះរបស់ថត ប៉ុន្តែប្រសិនបើវាមានរួចហើយ ខ្សែអក្សរ “ ត្រូវបានបន្ថែមទៅវា។Revision 1” (ចំនួនកើនឡើងរហូតដល់ឈ្មោះដែលមិនប្រើត្រូវបានរកឃើញ)។ ប្រតិបត្តិករបានធ្វើឱ្យប្រាកដថាការតស៊ូតាមរយៈសេវាកម្មគឺរឹងមាំ - ក្នុងករណីបរាជ័យ សេវាកម្មគួរតែត្រូវបានចាប់ផ្តើមឡើងវិញបន្ទាប់ពី 1 វិនាទី។ បន្ទាប់មកតម្លៃ WOW64 សោចុះបញ្ជីរបស់សេវាកម្មថ្មីត្រូវបានកំណត់ជា 4 ដែលបង្ហាញថាវាជាសេវាកម្ម 32 ប៊ីត។

កិច្ចការដែលបានកំណត់ពេលត្រូវបានបង្កើតតាមរយៈចំណុចប្រទាក់ COM ជាច្រើន៖ ITaskScheduler, ITask, ITaskTrigger, IPersistFile и ITaskScheduler. ជាសំខាន់ មេរោគបង្កើតកិច្ចការលាក់កំបាំង កំណត់ព័ត៌មានគណនីរួមជាមួយនឹងព័ត៌មានអ្នកប្រើប្រាស់ ឬអ្នកគ្រប់គ្រងបច្ចុប្បន្ន ហើយបន្ទាប់មកកំណត់គន្លឹះ។

នេះគឺជាកិច្ចការប្រចាំថ្ងៃដែលមានរយៈពេល 24 ម៉ោង និងចន្លោះពេលរវាងការប្រតិបត្តិពីរ 10 នាទី ដែលមានន័យថាវានឹងដំណើរការជាបន្តបន្ទាប់។

ព្យាបាទបន្តិច

ក្នុងឧទាហរណ៍របស់យើង ឯកសារដែលអាចប្រតិបត្តិបាន។ TCPSVCS.exe (AcroTranscoder.exe) គឺជាកម្មវិធីស្របច្បាប់ដែលផ្ទុក DLLs ដែលត្រូវបានកំណត់ឡើងវិញជាមួយវា។ ក្នុងករណីនេះវាជាការចាប់អារម្មណ៍ Flash Video Extension.dll.

មុខងាររបស់វា។ DLLMain គ្រាន់តែហៅមុខងារផ្សេងទៀត។ ការព្យាករណ៍មិនច្បាស់មួយចំនួនមានវត្តមាន៖

រូបភាពទី 7. ការព្យាករណ៍មិនច្បាស់

បន្ទាប់ពីការត្រួតពិនិត្យការយល់ច្រឡំទាំងនេះ លេខកូដទទួលបានផ្នែកមួយ។ .text ឯកសារ TCPSVCS.exeផ្លាស់ប្តូរការការពាររបស់វាទៅ PAGE_EXECUTE_READWRITE ហើយសរសេរវាឡើងវិញដោយបន្ថែមការណែនាំអត់ចេះសោះ៖

រូបភាពទី 8. លំដាប់នៃការណែនាំ

នៅចុងបញ្ចប់ទៅអាសយដ្ឋានមុខងារ FLVCore::Uninitialize(void), នាំចេញ Flash Video Extension.dll, ការណែនាំត្រូវបានបន្ថែម CALL. នេះមានន័យថាបន្ទាប់ពី DLL ព្យាបាទត្រូវបានផ្ទុក នៅពេលដំណើរការហៅទូរសព្ទ WinMain в TCPSVCS.exeទ្រនិចការណែនាំនឹងចង្អុលទៅ NOP ដែលបណ្តាលឱ្យ FLVCore::Uninitialize(void), ដំណាក់កាលបន្ទាប់។

មុខងារគ្រាន់តែបង្កើត mutex ចាប់ផ្តើមជាមួយ {181C8480-A975-411C-AB0A-630DB8B0A221}បន្តដោយឈ្មោះអ្នកប្រើប្រាស់បច្ចុប្បន្ន។ បន្ទាប់មកវាអានឯកសារ *.db3 ដែលបានបោះចោល ដែលមានលេខកូដឯករាជ្យទីតាំង និងប្រើប្រាស់ CreateThread ដើម្បីប្រតិបត្តិមាតិកា។

ខ្លឹមសារនៃឯកសារ *.db3 គឺជាកូដសែលដែលក្រុម OceanLotus ប្រើជាធម្មតា។ យើងម្តងទៀតបានពន្លាបន្ទុករបស់វាដោយជោគជ័យដោយប្រើស្គ្រីបកម្មវិធីត្រាប់តាមដែលយើងបានបោះពុម្ពផ្សាយ នៅលើ GitHub.

ស្គ្រីបដកស្រង់ដំណាក់កាលចុងក្រោយ។ សមាសធាតុនេះគឺជា backdoor ដែលយើងបានធ្វើការវិភាគរួចហើយ ការសិក្សាពីមុនរបស់ OceanLotus. នេះអាចត្រូវបានកំណត់ដោយ GUID {A96B020F-0000-466F-A96D-A91BBF8EAC96} ឯកសារគោលពីរ។ ការកំណត់រចនាសម្ព័ន្ធមេរោគនៅតែត្រូវបានអ៊ិនគ្រីបនៅក្នុងធនធាន PE ។ វាមានការកំណត់រចនាសម្ព័ន្ធប្រហែលដូចគ្នា ប៉ុន្តែម៉ាស៊ីនបម្រើ C&C គឺខុសពីឧបករណ៍មុនៗ៖

- andreagahuvrauvin[.]com - byronorenstein[.]com - stienollmache[.]xyz

ក្រុមការងារ OceanLotus បង្ហាញជាថ្មីម្តងទៀតនូវការរួមបញ្ចូលគ្នានៃបច្ចេកទេសផ្សេងៗគ្នា ដើម្បីជៀសវាងការរកឃើញ។ ពួកគេបានត្រឡប់មកវិញជាមួយនឹងដ្យាក្រាម "ចម្រាញ់" នៃដំណើរការឆ្លង។ ដោយជ្រើសរើសឈ្មោះចៃដន្យ និងបំពេញការប្រតិបត្តិដោយទិន្នន័យចៃដន្យ ពួកគេកាត់បន្ថយចំនួន IoCs ដែលអាចទុកចិត្តបាន (ផ្អែកលើសញ្ញា និងឈ្មោះឯកសារ)។ ជាងនេះទៅទៀត ដោយសារការប្រើប្រាស់ការផ្ទុក DLL ភាគីទីបី អ្នកវាយប្រហារគ្រាន់តែត្រូវការយកប្រព័ន្ធគោលពីរដែលស្របច្បាប់ចេញប៉ុណ្ណោះ។ AcroTranscoder.

បណ្ណសារដកស្រង់ដោយខ្លួនឯង។

បន្ទាប់ពីឯកសារ RTF ក្រុមបានផ្លាស់ទីទៅបណ្ណសារស្រង់ចេញដោយខ្លួនឯង (SFX) ដែលមានរូបតំណាងឯកសារទូទៅ ដើម្បីឱ្យអ្នកប្រើយល់ច្រឡំបន្ថែមទៀត។ សៀវភៅគំរាមកំហែងបានសរសេរអំពីរឿងនេះ (តំណភ្ជាប់ជាភាសាចិន) នៅពេលបើកដំណើរការ ឯកសារ RAR ដែលស្រង់ចេញដោយខ្លួនឯងត្រូវបានទម្លាក់ ហើយ DLLs ដែលមានផ្នែកបន្ថែម .ocx ត្រូវបានប្រតិបត្តិ ដែលជាបន្ទុកចុងក្រោយដែលត្រូវបានកត់ត្រាទុកពីមុន {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll. ចាប់តាំងពីពាក់កណ្តាលខែមករាឆ្នាំ 2019 មក OceanLotus បាននិងកំពុងប្រើបច្ចេកទេសនេះឡើងវិញ ប៉ុន្តែការផ្លាស់ប្តូរការកំណត់មួយចំនួនតាមពេលវេលា។ នៅក្នុងផ្នែកនេះយើងនឹងនិយាយអំពីបច្ចេកទេសនិងការផ្លាស់ប្តូរ។

ការបង្កើត Lure

ឯកសារ THICH-THONG-LAC-HANH-THAP-THIEN-VIET-NAM (1).EXE (SHA-1: AC10F5B1D5ECAB22B7B418D6E98FA18E32BBDEAB) ត្រូវបានរកឃើញដំបូងក្នុងឆ្នាំ ២០១៨។ ឯកសារ SFX នេះត្រូវបានបង្កើតដោយប្រាជ្ញា - នៅក្នុងការពិពណ៌នា (ព័ត៌មានកំណែ) វានិយាយថានេះគឺជារូបភាព JPEG ។ ស្គ្រីប SFX មើលទៅដូចនេះ៖

រូបភាពទី 9. ពាក្យបញ្ជា SFX

មេរោគកំណត់ឡើងវិញ {9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (SHA-1: EFAC23B0E6395B1178BCF7086F72344B24C04DCC) ក៏ដូចជារូបភាព 2018 thich thong lac.jpg.

រូបចម្លាក់មើលទៅដូចនេះ៖

រូបភាពទី 10. រូបភាព Decoy

អ្នកប្រហែលជាបានកត់សម្គាល់ឃើញថា បន្ទាត់ពីរដំបូងនៅក្នុងស្គ្រីប SFX ហៅឯកសារ OCX ពីរដង ប៉ុន្តែនេះមិនមែនជាកំហុសទេ។

{9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (ShLd.dll)

លំហូរវត្ថុបញ្ជានៃឯកសារ OCX គឺស្រដៀងគ្នាទៅនឹងសមាសធាតុ OceanLotus ផ្សេងទៀត - លំដាប់ពាក្យបញ្ជាជាច្រើន។ JZ/JNZ и PUSH/RETជំនួសដោយលេខកូដសំរាម។

រូបភាពទី 11. កូដដែលច្រឡំ

បន្ទាប់ពីត្រងចេញកូដឥតបានការ សូមនាំចេញ DllRegisterServer, បានហៅ regsvr32.exe, ដូចខាងក្រោម:

រូបភាពទី 12. កូដកម្មវិធីដំឡើងមូលដ្ឋាន

ជាទូទៅនៅលើការហៅជាលើកដំបូង DllRegisterServer ការនាំចេញកំណត់តម្លៃចុះបញ្ជី HKCUSOFTWAREClassesCLSID{E08A0F4B-1F65-4D4D-9A09-BD4625B9C5A1}Model សម្រាប់អុហ្វសិតដែលបានអ៊ិនគ្រីបនៅក្នុង DLL (0x10001DE0).

នៅពេលដែលមុខងារត្រូវបានគេហៅថាជាលើកទីពីរ វាអានតម្លៃដូចគ្នា ហើយប្រតិបត្តិតាមអាសយដ្ឋាននោះ។ ពីទីនេះធនធាន និងសកម្មភាពជាច្រើននៅក្នុង RAM ត្រូវបានអាន និងប្រតិបត្តិ។

លេខកូដសែលគឺជាកម្មវិធីផ្ទុក PE ដូចគ្នាដែលបានប្រើនៅក្នុងយុទ្ធនាការ OceanLotus កន្លងមក។ វាអាចត្រូវបានត្រាប់តាមដោយប្រើ ស្គ្រីបរបស់យើង។. នៅទីបញ្ចប់គាត់បានកំណត់ឡើងវិញ db293b825dcc419ba7dc2c49fa2757ee.dllផ្ទុកវាទៅក្នុងអង្គចងចាំ ហើយប្រតិបត្តិ DllEntry.

DLL ទាញយកមាតិកានៃធនធានរបស់វា ឌិគ្រីប (AES-256-CBC) និង decompresses (LZMA) វា។ ធនធានមានទម្រង់ជាក់លាក់ដែលងាយស្រួលក្នុងការបំបែក។

រូបភាពទី 13. រចនាសម្ព័ន្ធកំណត់រចនាសម្ព័ន្ធកម្មវិធីដំឡើង (KaitaiStruct Visualizer)

ការកំណត់រចនាសម្ព័ន្ធត្រូវបានបញ្ជាក់យ៉ាងច្បាស់ - អាស្រ័យលើកម្រិតសិទ្ធិ ទិន្នន័យគោលពីរនឹងត្រូវបានសរសេរទៅ %appdata%IntellogsBackgroundUploadTask.cpl ឬ %windir%System32BackgroundUploadTask.cpl (ឬ SysWOW64 សម្រាប់ប្រព័ន្ធ 64 ប៊ីត) ។

ការតស៊ូបន្ថែមទៀតត្រូវបានធានាដោយការបង្កើតភារកិច្ចដែលមានឈ្មោះ BackgroundUploadTask[junk].jobដែលជាកន្លែង [junk] តំណាងឱ្យសំណុំនៃបៃ 0x9D и 0xA0.

ឈ្មោះកម្មវិធីភារកិច្ច %windir%System32control.exeហើយតម្លៃប៉ារ៉ាម៉ែត្រគឺជាផ្លូវទៅកាន់ឯកសារគោលពីរដែលបានទាញយក។ កិច្ចការលាក់កំបាំងដំណើរការជារៀងរាល់ថ្ងៃ។

តាមរចនាសម្ព័ន្ធ ឯកសារ CPL គឺជា DLL ដែលមានឈ្មោះខាងក្នុង ac8e06de0a6c4483af9837d96504127e.dllដែលនាំចេញមុខងារមួយ។ CPlApplet. ឯកសារនេះឌិគ្រីបធនធានតែមួយគត់របស់វា។ {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dllបន្ទាប់មកផ្ទុក DLL នេះហើយហៅការនាំចេញតែមួយគត់របស់វា។ DllEntry.

ឯកសារកំណត់រចនាសម្ព័ន្ធ Backdoor

ការកំណត់រចនាសម្ព័ន្ធ backdoor ត្រូវបានអ៊ិនគ្រីប និងបង្កប់នៅក្នុងធនធានរបស់វា។ រចនាសម្ព័ន្ធនៃឯកសារកំណត់រចនាសម្ព័ន្ធគឺស្រដៀងទៅនឹងឯកសារមុនដែរ។

រូបភាពទី 14. រចនាសម្ព័ន្ធកំណត់រចនាសម្ព័ន្ធខាងក្រោយ (KaitaiStruct Visualizer)

ទោះបីជារចនាសម្ព័ន្ធស្រដៀងគ្នាក៏ដោយតម្លៃវាលជាច្រើនត្រូវបានធ្វើបច្ចុប្បន្នភាពពីអ្វីដែលបានបង្ហាញនៅក្នុង របាយការណ៍ចាស់របស់យើង។.

ធាតុទីមួយនៃអារេប្រព័ន្ធគោលពីរមាន DLL (HttpProv.dll MD5៖ 2559738D1BD4A999126F900C7357B759), កំណត់អត្តសញ្ញាណដោយ Tencent. ប៉ុន្តែចាប់តាំងពីឈ្មោះនាំចេញត្រូវបានដកចេញពីប្រព័ន្ធគោលពីរ សញ្ញាសម្គាល់មិនត្រូវគ្នាទេ។

ការស្រាវជ្រាវបន្ថែម

ខណៈពេលកំពុងប្រមូលសំណាក យើងសង្កេតឃើញលក្ខណៈមួយចំនួន។ សំណាកដែលទើបនឹងពណ៌នាបានបង្ហាញនៅប្រហែលខែកក្កដា ឆ្នាំ 2018 ហើយអ្វីផ្សេងទៀតដូចជាវាបានបង្ហាញនៅពេលថ្មីៗនេះនៅពាក់កណ្តាលខែមករាដល់ដើមខែកុម្ភៈ ឆ្នាំ 2019។ បណ្ណសារ SFX ត្រូវបានប្រើជាវ៉ិចទ័រឆ្លងមេរោគ ដោយទម្លាក់ឯកសារក្លែងក្លាយស្របច្បាប់ និងឯកសារ OSX ព្យាបាទ។

ទោះបីជា OceanLotus ប្រើត្រាពេលវេលាក្លែងក្លាយក៏ដោយ យើងបានកត់សម្គាល់ឃើញថា ត្រាពេលវេលានៃឯកសារ SFX និង OCX គឺតែងតែដូចគ្នា (0x57B0C36A (08/14/2016 @ 7:15pm UTC) និង 0x498BE80F (02/06/2009 @ 7:34am UTC) រៀងគ្នា)។ នេះប្រហែលជាបង្ហាញថាអ្នកនិពន្ធមានប្រភេទនៃ "អ្នករចនា" ដែលប្រើគំរូដូចគ្នា ហើយគ្រាន់តែផ្លាស់ប្តូរលក្ខណៈមួយចំនួន។

ក្នុងចំណោមឯកសារដែលយើងបានសិក្សាតាំងពីដើមឆ្នាំ ២០១៨ មានឈ្មោះផ្សេងៗដែលបង្ហាញពីប្រទេសដែលចាប់អារម្មណ៍ចំពោះអ្នកវាយប្រហារ៖

— ព័ត៌មានទំនាក់ទំនងថ្មីរបស់ Cambodia Media(New.xls.exe
— 李建香 (个人简历).exe (ឯកសារ pdf ក្លែងក្លាយនៃ CV)
— មតិកែលម្អ ការប្រមូលផ្តុំគ្នានៅសហរដ្ឋអាមេរិកចាប់ពីថ្ងៃទី 28-29 ខែកក្កដា ឆ្នាំ 2018.exe

ចាប់តាំងពីទ្វារខាងក្រោយត្រូវបានរកឃើញ {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll និងការបោះពុម្ពផ្សាយការវិភាគរបស់វាដោយអ្នកស្រាវជ្រាវជាច្រើន យើងបានសង្កេតឃើញការផ្លាស់ប្តូរមួយចំនួននៅក្នុងទិន្នន័យកំណត់រចនាសម្ព័ន្ធមេរោគ។

ដំបូង អ្នកនិពន្ធបានចាប់ផ្តើមដកឈ្មោះចេញពី DLLs ជំនួយ (DNSprov.dll និងកំណែពីរ HttpProv.dll) បន្ទាប់មកប្រតិបត្តិករបានបញ្ឈប់ការវេចខ្ចប់ DLL ទីបី (កំណែទីពីរ HttpProv.dll) ជ្រើសរើសដើម្បីបង្កប់តែមួយគត់។

ទីពីរ វាលការកំណត់រចនាសម្ព័ន្ធ backdoor ជាច្រើនត្រូវបានផ្លាស់ប្តូរ ដែលទំនងជាគេចពីការរកឃើញនៅពេលដែល IoCs ជាច្រើនមាន។ វាលសំខាន់ៗដែលត្រូវបានកែប្រែដោយអ្នកនិពន្ធរួមមាន:

បានផ្លាស់ប្តូរសោចុះបញ្ជី AppX (សូមមើល IoCs)
ខ្សែអក្សរអ៊ិនកូដ mutex ("def", "abc", "ghi")
លេខច្រក

ជាចុងក្រោយ កំណែថ្មីទាំងអស់ដែលបានវិភាគមាន C&Cs ថ្មីដែលបានរាយក្នុងផ្នែក IoCs ។

ការរកឃើញ

OceanLotus បន្តអភិវឌ្ឍ។ ក្រុមអ៊ិនធឺណិតផ្តោតលើការចម្រាញ់ និងពង្រីកឧបករណ៍ និងនុយ។ អ្នកនិពន្ធក្លែងបន្លំបន្ទុកព្យាបាទដោយប្រើឯកសារទាក់ទាញចំណាប់អារម្មណ៍ដែលប្រធានបទមានពាក់ព័ន្ធនឹងជនរងគ្រោះដែលមានបំណង។ ពួកគេបង្កើតគ្រោងការណ៍ថ្មី ហើយក៏ប្រើឧបករណ៍ដែលមានជាសាធារណៈផងដែរ ដូចជា Equation Editor exploit ជាដើម។ លើសពីនេះទៅទៀត ពួកគេកំពុងកែលម្អឧបករណ៍ដើម្បីកាត់បន្ថយចំនួនវត្ថុបុរាណដែលនៅសេសសល់នៅលើម៉ាស៊ីនរបស់ជនរងគ្រោះ ដោយកាត់បន្ថយឱកាសនៃការរកឃើញដោយកម្មវិធីកំចាត់មេរោគ។