ืืื ืืขื ืคึผืึธืกืื ืืืจ ืืืขื ืืึธืื ืืืจ ืืื ืื ืกืืืืขืจ ืืจืืคึผืข OceanLotus (APT32 ืืื APT-C-00) ืืขืฆืื ืก ืืขืืืืื ื ืืืื ืขืจ ืคืื ืื ืขืคื ืืืขื ืื ืืืฆื ืขืงืกืคึผืืืืฅ ืคึฟืึทืจ , ืืืงืึธืจื ืงืึธืจืืคึผืฆืืข ืืืึทืื ืขืจืึทืืืืืืื ืืื ืืืงืจืึธืกืึธืคื ืึธืคืคืืกืข, ืืื ืืื ืื ืืจืืคึผืข ืก ืืึทืืืืึทืจืข ืึทืืฉืืืื ืคึผืขืจืกืืกืืึทื ืก ืืืืฃ ืงืึทืืคึผืจืึทืืืืื ืกืืกืืขืืขื ืึธื ืืขืืืื ืึท ืฉืคึผืืจ. ืืขืจื ืึธื, ืืืจ ืืืขืื ืืึทืฉืจืืึทืื ืืื ืืื ื ืื ืึธื ืืืื ืคืื 2019, ืื ืืจืืคึผืข ืืื ืืขืืืืื ื ืืื-ืืงืกืืจืึทืงืืื ื ืึทืจืงืืืืื ืฆื ืืืืคื ืงืึธื.
OceanLotus ืกืคึผืขืฉืึทืืืืืื ืืื ืกืืืืขืจ ืฉืคึผืืึธื ืึทืืฉ, ืืื ืืืืืขืจืงืืึทื ืืึทืจืืึทืฅ ืืืึทื ืขื ืืขื ืืขืจ ืืื ืกืึธืืืืขืึทืกื ืืืืข. ืึทืืึทืงืขืจื ืคืึธืจืฉื ืืึธืงืืืขื ืื ืืืึธืก ืฆืืฆืืขื ืื ืืคืืขืจืงืืึทืืงืืื ืคืื ืคึผืึธืืขื ืฆืืขื ืืืืงืืืืก ืฆื ืืืืขืจืฆืืืื ืืื ืฆื ืืืกืคืืจื ืื ืืึทืงืืึธืจ, ืืื ืืขื ืขื ืืืื ืืจืืขืื ืืืืฃ ืืขืืืขืืึธืคึผืื ื ืืืฉืืจืื. ืื ืืขืืืึธืืก ืืขื ืืฆื ืฆื ืฉืึทืคึฟื ืืึทื ืืคึผืึธืฅ ืืืึทืื ืฆืืืืฉื ืึทืืึทืงืก, ืคึฟืื "ืืึธืคึผื ืืขืฉืคึผืจืืื" ืืขืงืขืก, ืืื-ืืงืกืืจืึทืงืืื ื ืึทืจืงืืืืื, ืืึธืงืืืขื ืื ืืื ืืึทืงืจืึธืก, ืฆื ืืึทืืืืกื ืขืงืกืคึผืืืืฅ.
ื ืืฆื ืึท ืขืงืกืคึผืืืื ืืื Microsoft Equation Editor
ืืื ืืืื 2018, OceanLotus ืืขืคืืจื ืึท ืงืืืคืื ืืข ื ืืฆื ืื CVE-2017-11882 ืืืึทืื ืขืจืึทืืืืืื. ืืืื ืขืจ ืคืื ืื ืืืืืข ืืึธืงืืืขื ืื ืคืื ืื ืกืืืืขืจ ืืจืืคึผืข ืืื ืึทื ืึทืืืืื ืืืจื ืกืคึผืขืฉืึทืืึทืกืฅ ืคืื 360 Threat Intelligence Center (), ืึทืจืืึทื ืืขืจืขืื ื ืึท ืืืืืืื ืืึทืฉืจืืึทืืื ื ืคืื ืื ืขืงืกืคึผืืืืืืืฉืึทื. ืืขืจ ืคึผืึธืกืื ืืื ืื ืึผืืื ืึทื ืืืืขืจืืืืง ืคืื ืึทืืึท ืึท ืืืืืข ืืึธืงืืืขื ื.
ืืขืจ ืขืจืฉืืขืจ ืืื ืข
ืืขืจ ืืึธืงืืืขื ื FW Report on demonstration of former CNRP in Republic of Korea.doc (SHA-1: D1357B284C951470066AAA7A8228190B88A5C7C3) ืืื ืขื ืืขื ืฆื ืื ืืขืจืืื ื ืืื ืื ืืขืจื ืขื ืืืืื. ืขืก ืืื ืืฉืืงืึทืืืข ืืืืึทื ืขืก ืืื ืึทืืืขื ืฆื ื ืืฆืขืจืก ืืื ืืขืจืขืกืืจื ืืื ืงืึทืืืึธืืืึทื ืึท ืคึผืึธืืืืืง (CNRP - ืงืึทืืืึธืืืึท ื ืึทืฉืึทื ืึทื ืจืขืกืงืื ืคืืจืืื, ืฆืขืืึธืื ืืื ืื ืกืืฃ ืคืื 2017). ืืจืึธืฅ ืื .ืืึธืง ืืขืฉืคึผืจืืื, ืืขืจ ืืึธืงืืืขื ื ืืื ืืื ืจืืฃ ืคึฟืึธืจืืึทื (ืืขื ืืืื ืืื ืื), ืึผืืื ืืืกื ืงืึธื ืืื ืืื ืืืื ืคืึทืจืงืจืืื.
ืคืืืืจืข 1. "ืืืกื" ืืื ืจืืฃ
ืืคืืื ืืึธืืฉ ืขืก ืืขื ืขื ืืึทืจืืึทืื ืขืืขืืขื ืื, Word ืึธืคึผืขื ืก ืืขื RTF ืืขืงืข ืืฆืืื. ืืื ืืืจ ืงืขื ืขื ืืขื ืืื ืคืืืืจืข 2, ืขืก ืืื ืึทื EQNOLEFILEHDR ืกืืจืืงืืืจ ืืื ืคืึธืืึธ 0xC00, ื ืืืืขืืื ืืขื ืืืจื ืึท MTEF ืืขืืขืจ, ืืื ืืขืจื ืึธื ืึทื MTEF ืคึผืึธืืืฆืืข (ืคืืืืจืข 3) ืคึฟืึทืจ ืื ืฉืจืืคึฟื.
ืคืืืืจืข 2. ืคืึธื ื ืคึผืึธืืืฆืืข ืืืึทืืืขืก
ืคืืืืจืข ืงืกื ืืืงืก.
ืืขืืืขื ืืืืคื ืืื ืื ืคืขืื ื ืึธืืขื, ืืืืึทื ืืืึทื ืืจืืืก ืืื ื ืืฉื ืึธืคึผืืขืฉืืขืื ืืืืืขืจ ืงืึทืคึผืืื ื. ื ื ืึธืืขื ืืืึธืก ืืื ืฆื ืืึทื ื ืืจืืืขืจื ืึท ืืืึทืื ืขืจืึทืืืืืื. ืืื ืืืจ ืงืขื ืขื ืืขื ืคึฟืื ืื ืืื ืืึทืื ืคืื ืื RTF ืืขืงืข (ืึธืคืกืขื 0xC26 ืืื ืคืืืืจืข 2), ืืขืจ ืืึทืคืขืจ ืืื ืึธื ืืขืคืืื ืืื ืฉืขืืงืึธืืข ื ืืืืขืืื ืืขื ืืืจื ืึท ืืึธืง ืืึทืคึฟืขื (0x90) ืืื ืฆืืจืืงืงืืืขื ืึทืืจืขืก 0x402114. ืืขืจ ืึทืืจืขืก ืืื ืึท ืืืึทืืึธื ืขืืขืืขื ื ืืื EQNEDT32.exe, ืื ืืึทืงืืืืื ื ืื ืกืืจืึทืงืฉืึทื ื RET. ืืขื ื EIP ืฆื ืคืื ื ืฆื ืื ืึธื ืืืื ืคืื ืื ืคืขืื ื ืึธืืขืืืื ืื ืฉืขืืงืึธืืข.
ืคืืืืจืข 4. ืึธื ืืืื ืคืื ืื ืืืืืจืข ืฉืขืืงืึธืืข
ืึทืืจืขืก 0x45BD3C ืกืืึธืจื ืึท ืืืึทืืขืืืืืง ืืืึธืก ืืื ืืขืจืขืคืขืจืึทื ืกื ืืื ืขืก ืจืืืฉืึทื ืึท ืืืึทืื ืฆื ืื ืืืฆื ืืึธืืืื ืกืืจืืงืืืจ MTEFData. ืื ืจืขืฉื ืคืื ืื ืฉืขืืงืึธืืข ืืื ืืึธ.
ืืขืจ ืฆืื ืคืื ืื ืฉืขืืงืึธืืข ืืื ืฆื ืืืกืคืืจื ืื ืจืืข ืฉืืืง ืคืื ืฉืขืืงืึธืืข ืขืืืขืืื ืืื ืื ืขืคืขื ืขื ืืึธืงืืืขื ื. ืืขืจ ืึธืจืืืื ืขื ืฉืขืืงืึธืืข ืขืจืฉืืขืจ ืคืจืืืื ืฆื ืืขืคึฟืื ืขื ืื ืืขืงืข ืืืกืงืจืืคึผืืึธืจ ืคืื ืื ืึธืคึฟื ืืึธืงืืืขื ื ืืืจื ืืืขืจืืืืื ื ืืืืขืจ ืึทืืข ืกืืกืืขื ืืืกืงืจืืคึผืืึธืจืก (NtQuerySystemInformation ืืื ืืขื ื SystemExtendedHandleInformation) ืืื ืงืึธื ืืจืึธืืืจื ืืืื ืืื ืืืืึทืื ืคึผืื ืืืกืงืจืืคึผืืึธืจ ืืื ืคึผืื ืคึผืจืึธืฆืขืก WinWord ืืื ืฆื ืืขืจ ืืึธืงืืืขื ื ืืื ืืขืขืคื ื ืืขืืืืจื ืืื ืึท ืึทืงืกืขืก ืืึทืกืงืข - 0x12019F.
ืฆื ืืึทืฉืืขืืืงื ืึทื ืื ืจืืืืืง ืฉืขืคึผื ืืื ืืขืคืื ืขื (ืืื ื ืืฉื ืื ืฉืขืคึผื ืฆื ืื ืื ืืขืจ ืึธืคึฟื ืืึธืงืืืขื ื), ืื ืืื ืืึทืื ืคืื ืืขืจ ืืขืงืข ืืื ืืขืืืืื ืืื ืื ืคึฟืื ืงืฆืืข CreateFileMapping, ืืื ืื ืฉืขืืงืึธืืข ืืฉืขืงืก ืฆื ืื ืืขืฆืืข ืคืืจ ืืืืขืก ืคืื ืืขื ืืึธืงืืืขื ื ืืืืึทืื "yyyy"(ืื ืืืืขื ืืืคึฟื). ืึทืืึธื ืึท ืืืืึทืื ืืื ืืขืคึฟืื ืขื, ืืขืจ ืืึธืงืืืขื ื ืืื ืงืึทืคึผืื ืฆื ืึท ืฆืืึทืืืืืึทืืืง ืืขืงืข (GetTempPath) ืืื ole.dll. ืืขืจื ืึธื ืื ืืขืฆืืข 12 ืืืืขืก ืคืื ืืขื ืืึธืงืืืขื ื ืืขื ืขื ืืืืขื ืขื.
ืคืืืืจืข 5. ืกืืฃ ืคืื ืืึธืงืืืขื ื ืืึทืจืงืขืจืก
32-ืืืกื ืืืขืจื ืฆืืืืฉื ืืึทืจืงืขืจืก AABBCCDD ะธ yyyy ืืื ืืขืจ ืคืึธืืึธ ืคืื ืืขืจ ืืืืึทืืขืจ ืฉืขืืงืึธืืข. ืขืก ืืื ืืขืจืืคื ื ืืฆื ืื ืคึฟืื ืงืฆืืข CreateThread. ืืงืกืืจืึทืงืืื ืื ืืขืืืข ืฉืขืืงืึธืืข ืืืึธืก ืืื ืืขืืืขื ืืขื ืืฆื ืืืจื ืื OceanLotus ืืจืืคึผืข ืคืจืืขืจ. , ืืืึธืก ืืืจ ืืืคืจืืื ืืขืจืฅ 2018, ื ืึธื ืึทืจืืขื ืคึฟืึทืจ ืื ืจืืข ืืื ืข ืืึทืืคึผ.
ืฆืืืืืืข ืืื ืข
ืจืืืืืืื ื ืงืึทืืคึผืึธืื ืึทื ืฅ
ืืขืงืข ืืื ืืืขืืืืืึทืืขืจ ื ืขืืขื ืืขื ืขื ืืืืกืืขืจืืืืืื ืืื ืึทืืืงืึทืืื. ืืขืจ ืงืึธื ืจืึทื ืืึทืืื ืกืึทืืขืงืฅ ืื ื ืึธืืขื ืคืื ืื ืขืงืกืขืงืืืึทืืืข ืึธืืขืจ ืืื ืืขืงืข ืืื C:Windowssystem32. ืขืก ืืขืืึธืื ืืืื ืึท ืืงืฉื ืฆื ืืืึทื ืจืขืกืืจืกื ืืื ืจืืืจืืืื ืื ืคืขืื FileDescription ืฆื ื ืืฆื ืืื ืืขืจ ืืขืงืข ื ืึธืืขื. ืืืื ืืึธืก ืืื ื ืืฉื ืึทืจืืขืื, ืืขืจ ืงืึธื ืจืึทื ืืึทืืื ืกืึทืืขืงืฅ ืึท ืืขืงืข ื ืึธืืขื ืคืื ืื ืืืจืขืงืืขืจืื %ProgramFiles% ืึธืืขืจ C:Windows (ืคืื ืืึทืงืืืขืWindowsDirectoryW). ืขืก ืคืืจืืืืื ืฆื ื ืืฆื ื ื ืืืขื ืืืืก ืงืขื ืงืื ืคืืืงืืืจื ืืื ืขืงืืืกืืืจื ืืข ืืขืงืขืก ืืื ืืืืขืจื ืื ืขืก ืืื ื ืืฉื ืื ืืืืืื ืื ืคืืืื ืืข ืืืขืจืืขืจ: windows, Microsoft, desktop, system, system32 ืึธืืขืจ syswow64. ืืืื ืืขืจ ืืืขืืืืืึทืืขืจ ืฉืืื ืืืืืกืฅ, "NLS_{6 ืืืชืืืช}" ืืื ืฆืืืขืืืืื ืฆื ืืขื ื ืึธืืขื.
ืืืื 0x102 ืืื ืึทื ืึทืืืืื ืืื ืืขืงืขืก ืืขื ืขื ืืึทืืคึผื ืืื %ProgramFiles% ืึธืืขืจ %AppData%, ืฆื ืึท ืจืึทื ืืึทืืื ืืืืกืืขืงืืืื ืืขืงืข. ืืฉืืื ืืืฉื ืฉืึทืคืื ื ืฆืืื ืฆื ืืึธืื ืื ืืขืืืข ืืืึทืืืขืก ืืื kernel32.dll.
ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืืึธ ืืื ืืขืจ ืืขืงืข ืืื ืจืฉืืื ืคืื ืืขืงืขืก ืืืฉืืคื ืืืจื ืกืึทืืขืงืืื ื ืื ืขืงืกืขืงืืืึทืืืข C:Windowssystem32TCPSVCS.exe ืืื ืึท ืืึทืื ืืงืืจ.
ืคืืืืจืข 6. ืขืงืกืืจืึทืงืืื ื ืคืึทืจืฉืืื ืงืึทืืคึผืึธืื ืึทื ืฅ
ืืืื ืกืืจืืงืืืจ 0x102 ืืื ืึท ืืจืึทืคึผืขืจ ืืื ืืึทื ืฅ ืงืึธืืคึผืืืฆืืจื. ืืื ืึท ื ืึทืืฉืขื, ืขืก ืึผืืื:
โ ืืขืงืข ื ืขืืขื
- ืืขืงืข ืืจืืืก ืืื ืืื ืืึทืื
- ืงืึทืืคึผืจืขืฉืึทื ืคึฟืึธืจืืึทื (COMPRESSION_FORMAT_LZNT1, ืืขื ืืฆื ืืืจื ืื ืคึฟืื ืงืฆืืข RtlDecompressBuffer)
ืืขืจ ืขืจืฉืืขืจ ืืขืงืข ืืื ืืึทืฉืืขืืืง ืืื TCPSVCS.exe, ืืืึธืก ืืื ืืึทืืืฉืืืึทืืึทื AcroTranscoder.exe (ืืืื FileDescription, SHA-1: 2896738693A8F36CC7AD83EF1FA46F82F32BE5A3).
ืืืจ ืงืขื ืืึธืื ืืืืขืจืงื ืึทื ืขืืืขืืข ืืื ืืขืงืขืก ืืขื ืขื ืืจืขืกืขืจ ืืื 11 ืื. ืืึธืก ืืื ืืืืึทื ืึท ืืจืืืก ืงืึทื ืืืืืืึทืก ืืึทืคืขืจ ืคืื ืืจืึทืค - ืืึทืื ืืื ืืขืฉืืขืื ืืื ืื ืขืงืกืขืงืืืึทืืืข ืืขืงืข. ืขืก ืืื ืืขืืืขื ืึทื ืืึธืก ืืื ืึท ืืืขื ืฆื ืืืกืืืืื ืืืืขืงืฉืึทื ืืืจื ืขืืืขืืข ืืืืขืจืืืื ืคึผืจืึธืืืงืื.
ืื ืฉืืจืื ื ืคึผืขืจืกืืกืืึทื ืก
ืืืื 0x101 ืืื ืื ืืจืึทืคึผืขืจ ืึผืืื ืฆืืืื 32-ืืืกื ืื ืืึทืืืฉืขืจื ืืืึธืก ืกืคึผืขืฆืืคืืฆืืจื ืืื ืคึผืขืจืกืืกืืึทื ืก ืืึธื ืืืื ืฆืืืขืฉืืขืื. ืืขืจ ืืืขืจื ืคืื ืืขืจ ืขืจืฉืืขืจ ืกืคึผืขืฆืืคืืฆืืจื ืืื ืื ืืึทืืืืึทืจืข ืืืขื ืึธื ืืึทืืื ืึธื ืึทืืืื ืืกืืจืึทืืึธืจ ืจืขืื.
ืืืฉ 1. ืคึผืขืจืกืืกืืึทื ืก ืืขืงืึทื ืืืึทื ืึธื ืึทืืืื ืืกืืจืึทืืึธืจ ืจืขืื
ืื ืืืขืจื ืคืื ืื ืจืืข ืื ืืึทืืืฉืขืจ ืกืคึผืขืฆืืคืืฆืืจื ืืื ืื ืืึทืืืืึทืจืข ืืึธื ืืขืจืืจืืืื ืคึผืขืจืกืืกืืึทื ืก ืืืขื ืคืืืกื ืืืง ืืื ืึทืืืื ืืกืืจืึทืืึธืจ ืจืขืื.
ืืืฉ 2. ืคึผืขืจืกืืกืืึทื ืก ืืขืงืึทื ืืืึทื ืืื ืึทืืืื ืืกืืจืึทืืึธืจ ืจืขืื
ืืขืจ ืืื ืกื ื ืึธืืขื ืืื ืืขืจ ืืขืงืข ื ืึธืืขื ืึธื ืคืึทืจืืขื ืืขืจืื ื; ืื ืึทืจืืืกืืืืึทืื ื ืึธืืขื ืืื ืืขืจ ื ืึธืืขื ืคืื ืืขืจ ืืขืงืข, ืึธืืขืจ ืืืื ืขืก ืฉืืื ืืืืืกืฅ, ืื ืฉืืจืืงื "Revision 1โ (ืื ื ืืืขืจ ืื ืงืจืืกืื ืืื ืึทื ืึทื ืืืื ื ืึธืืขื ืืื ืืขืคึฟืื ืขื). ืื ืึธืคึผืขืจืืืืขืจื ืืึธืื ืืืืขืจ ืึทื ืคึผืขืจืกืืกืืึทื ืก ืืืจื ืื ืกืขืจืืืืก ืืื ืืขืืื ื - ืืื ืคืึทื ืคืื ืืืจืืคืึทื, ืื ืกืขืจืืืืก ืืึธื ืืืื ืจืืกืืึทืจืืื ื ืึธื 1 ืจืืข. ืืขืืึธืื ืืขืจ ืืืขืจื WOW64 ืื ืจืขืืืกืืจื ืฉืืืกื ืคืื ืื ื ืืึทืข ืกืขืจืืืืก ืืื ืืึทืฉืืืื ืฆื 4, ืืืึธืก ืื ืืืงืืืฅ ืึทื ืขืก ืืื ืึท 32-ืืืกื ืืื ืกื.
ื ืกืงืขืืืฉืืื ืึทืจืืขื ืืื ืืืฉืืคื ืืืจื ืขืืืขืืข COM ืื ืืขืจืคืืืกืื: ITaskScheduler, ITask, ITaskTrigger, IPersistFile ะธ ITaskScheduler. ืืกืขื ืฉืึทืื, ืื ืืึทืืืืึทืจืข ืงืจืืืืฅ ืึท ืคืึทืจืืึธืจืื ืึทืจืืขื, ืฉืืขืื ืื ืืฉืืื ืืื ืคึฟืึธืจืืึทืฆืืข ืฆืืืืืขื ืืื ืื ืงืจืึทื ื ืืึทื ืืฆืขืจ ืึธืืขืจ ืึทืืืื ืืกืืจืึทืืึธืจ ืืื ืคึฟืึธืจืืึทืฆืืข, ืืื ืืึทื ืฉืืขืื ืื ืฆืื ืื.
ืืึธืก ืืื ืึท ืืขืืืขื ืึทืจืืขื ืืื ืึท ืืขืืืืขืจ ืคืื 24 ืฉืขื ืืื ืื ืืขืจืืืึทืื ืฆืืืืฉื ืฆืืืื ืขืงืกืึทืงืืืฉืึทื ื ืคืื 10 ืืื ืื, ืืืึธืก ืืืื ืึทื ืขืก ืืืขื ืืืืคื ืงืขืกืืืืขืจ.
ืืืืืข ืืืกื
ืืื ืืื ืืืขืจ ืืืึทืฉืคึผืื, ืื ืขืงืกืขืงืืืึทืืืข ืืขืงืข TCPSVCS.exe (AcroTranscoder.exe) ืืื ืืึทืืืฉืืืึทืืึทื ืืืืืืืืืจื ืืืึธืก ืืึธืืื ืืืืก ืืืึธืก ืืขื ืขื ืืึทืฉืืขืืืง ืฆืืืึทืืขื ืืื ืืื. ืืื ืืขื ืคืึทื, ืขืก ืืื ืคืื ืืื ืืขืจืขืก Flash Video Extension.dll.
ืืืึทื ืคึฟืื ืงืฆืืข DLLMain ื ืึธืจ ืจืืคื ืื ืื ืืขืจ ืคึฟืื ืงืฆืืข. ืขืืืขืืข ืคืึทืื ืคึผืจืขืืืงืึทืฅ ืืขื ืขื ืคืึธืจืฉืืขืื:
ืคืืืืจืข 7. ืคืึทืื ืคึผืจืขืืืงืึทืืขืก
ื ืึธื ืื ืืืกืืืืื ื ืืฉืขืงืก, ืื ืงืึธื ืืขืฅ ืึท ืึธืคึผืืืืืื ื .text ืืขืงืข TCPSVCS.exe, ืขื ืืขืจืื ืืขื ืืืึทื ืคืึทืจืืืืืืงืื ื ืฆื PAGE_EXECUTE_READWRITE ืืื ืจืืจืืื ืขืก ืืืจื ืึทืืื ื ืืึทืื ืื ืกืืจืึทืงืฉืึทื ื:
ืคืืืืจืข 8. ืกืืงืืืึทื ืก ืคืื ืื ืกืืจืึทืงืฉืึทื ื
ืืื ืื ืกืืฃ ืฆื ืื ืคืื ืงืฆืืข ืึทืืจืขืก FLVCore::Uninitialize(void), ืขืงืกืคืืจืืืจื Flash Video Extension.dll, ืืืืขื ืืื ืฆืืืขืืขืื CALL. ืืขื ืืืื ืึทื ื ืึธื ืื ืืืืืข ืืื ืืื ืืึธืืืื, ืืืขื ืื ืจืื ืืืืข ืจืืคื WinMain ะฒ TCPSVCS.exe, ืืขืจ ืืื ืกืืจืืงืฆืืข ืืืึทืื ืืืขื ืคืื ื ืฆื NOP, ืงืึธืืื ื FLVCore::Uninitialize(void), ืืืืึทืืขืจ ืืื ืข.
ืื ืคึฟืื ืงืฆืืข ืคืฉืื ืงืจืืืืฅ ืึท ืืืืขืงืก ืกืืึทืจืืื ื ืืื {181C8480-A975-411C-AB0A-630DB8B0A221}ื ืืืืขืืื ืืขื ืืืจื ืืขื ืงืจืึทื ื ื ืืืขื. ืขืก ืืขืืึธืื ืืืืขื ื ืื ืืึทืืคึผื *.ืื3 ืืขืงืข, ืืืึธืก ืึผืืื ืฉืืขืืข-ืคืจืืึท ืงืึธื, ืืื ื ืืฆื CreateThread ืฆื ืืืกืคืืจื ืืขื ืืื ืืึทืื.
ืืขืจ ืืื ืืึทืื ืคืื ืื *.db3 ืืขืงืข ืืื ืื ืฉืขืืงืึธืืข ืืืึธืก ืื ืึธืกืขืึทื ืืึธืืืก ืืจืืคึผืข ืืืคึผืืงืื ื ืืฆื. ืืืจ ืืืืืขืจ ืืฆืืื ืึทื ืคึผืึทืงื ืืืื ืคึผืืืืึธืื ื ืืฆื ืื ืขืืืืึทืืึธืจ ืฉืจืืคื ืืืจ ืืจืืืก .
ืืขืจ ืฉืจืืคื ืขืงืกืืจืึทืงื ืื ืืขืฆื ืืื ืข. ืืขืจ ืงืึธืืคึผืึธื ืขื ื ืืื ืึท ืืึทืงืืึธืจ, ืืืึธืก ืืืจ ืืึธืื ืฉืืื ืึทื ืึทืืืืื ืืื . ืืึธืก ืงืขื ืืืื ืืืฉืืืกื ืืืจื ืื GUID {A96B020F-0000-466F-A96D-A91BBF8EAC96} ืืืื ืขืจื ืืขืงืข. ืื ืืึทืืืืึทืจืข ืงืึทื ืคืืืืขืจืืืฉืึทื ืืื ื ืึธื ืื ืงืจืืคึผืืื ืืื ืื PE ืืืื. ืขืก ืืื ืืขืขืจืขื ืืขืจ ืืขืืืืงืขืจ ืงืึทื ืคืืืืขืจืืืฉืึทื, ืึธืืขืจ ืื C&C ืกืขืจืืืขืจืก ืืขื ืขื ืึทื ืืขืจืฉ ืคืื ืื ืคืจืืขืจืืืงืข ืึธื ืขืก:
- andreagahuvrauvin[.]com
- byronorenstein[.]com
- stienollmache[.]xyz
ืื OceanLotus ืืึทื ืฉืึทืคึฟื ืืืืืขืจ ืืขืืึทื ืกืืจืืืฅ ืึท ืงืึธืืืื ืึทืฆืืข ืคืื โโโโืคืึทืจืฉืืืขื ืข ืืขืงื ืืงืก ืฆื ืืืกืืืืื ืืืืขืงืฉืึทื. ืืื ืืืืืขืงืขืจื ืืื ืึท "ืจืึทืคืื ืืจื" ืืืึทืืจืึทืืข ืคืื โโืื ืื ืคืขืงืฆืืข ืคึผืจืึธืฆืขืก. ืืืจื ืืฉืืืื ื ืืจืึทืค ื ืขืืขื ืืื ืคึผืืึธืืืืจื ืขืงืกืขืงืืืึทืืืขืก ืืื ืืจืึทืค ืืึทืื, ืืื ืจืขืืืฆืืจื ืื ื ืืืขืจ ืคืื ืคืึทืจืืึธืืืขื IoCs (ืืืืืจื ืืืืฃ ืืึทืฉืขืก ืืื ืืขืงืข ื ืขืืขื). ืืขืจืฆื, ืืึทื ืง ืฆื ืื ื ืืฆื ืคืื ืืจืื-ืคึผืึทืจืืื ืืื ืืึธืืืื ื, ืึทืืึทืงืขืจื ื ืึธืจ ืืึทืจืคึฟื ืฆื ืืึทืืืึทืืืงื ืื ืืึทืืืฉืืืึทืืึทื ืืืื ืขืจื AcroTranscoder.
ืึทืืืื -ืืงืกืืจืึทืงืืื ื ืึทืจืงืืืืื
ื ืึธื RTF ืืขืงืขืก, ืื ืืจืืคึผืข ืืื ืืจืืืขืจืืขืคืืจื ืฆื ืืื-ืืงืกืืจืึทืงืืื ื (SFX) ืึทืจืงืืืืื ืืื ืคึผืจืึธืกื ืืึธืงืืืขื ื ืืืงืึทื ื ืฆื ืฆืขืืืฉื ืื ืืึทื ืืฆืขืจ. ืืจืขืึทืืืึธืึธืง ืืขืฉืจืืื ืืืขืื ืืขื (). ืืื ืงืึทืืขืจ, ืืื-ืืงืกืืจืึทืงืืื ื ืจืึทืจ ืืขืงืขืก ืืขื ืขื ืืจืึทืคึผื ืืื ืืืืก ืืื ืึทื .ืึธืงืงืก ืืขืฉืคึผืจืืื ืืขื ืขื ืขืงืกืึทืงืืืืึทื, ืื ืืขืฆื ืคึผืืืืึธืื ืคืื ืืืึธืก ืืื ืืขืืืขื ืคืจืืขืจ ืืึทืงืืืืขื ืืึทื {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll. ืืื ื ืืืื ืืื ืืืจ 2019, OceanLotus ืจืืืื ืืขื ืืขืื ืืง, ืึธืืขืจ ืืฉืึทื ืืื ื ืขืืืขืืข ืงืึทื ืคืืืืขืจืืืฉืึทื ื ืืืืขืจ ืฆืืื. ืืื ืืขื ืึธืคึผืืืืืื ื ืืืจ ืืืขืื ืจืขืื ืืืขืื ืื ืืขืื ืืง ืืื ืขื ืืขืจืื ืืขื.
ืฉืืคื ืึท ืืขืจื
ืืขืจ ืืึธืงืืืขื ื THICH-THONG-LAC-HANH-THAP-THIEN-VIET-NAM (1).EXE (SHA-1: AC10F5B1D5ECAB22B7B418D6E98FA18E32BBDEAB) ืืื ืืขืืืขื ืขืจืฉืืขืจ ืืขืคึฟืื ืขื ืืื 2018. ืื SFX ืืขืงืข ืืื ืืืฉืืคื ืืืืืืื - ืืื ืื ืืึทืฉืจืืึทืืื ื (ืืืขืจืกืืข ืืื ืคึฟืึธืจืืึทืฆืืข) ืขืก ืืืื ืึทื ืืึธืก ืืื ืึท JPEG ืืืื. ืื SFX ืฉืจืืคื ืงืืงื ืืื ืืึธืก:
ืคืืืืจืข 9. SFX ืงืึทืืึทื ืื
ืื ืืึทืืืืึทืจืข ืจืืกืขืฅ {9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (SHA-1: EFAC23B0E6395B1178BCF7086F72344B24C04DCC), ืืื ืืขืืื ื ืืื ืึท ืืืื 2018 thich thong lac.jpg.
ืื ืืขืงืึธ ืืืื ืงืืงื ืืื ืืึธืก:
ืคืืืืจืข 10. ืืขืงืื ืืืื
ืืืจ ืงืขื ืืึธืื ืืืืขืจืงื ืึทื ืื ืขืจืฉืืขืจ ืฆืืืื ืฉืืจืืช ืืื ืื SFX ืฉืจืืคื ืจืืคื ืื OCX ืืขืงืข ืฆืืืื ืืึธื, ืึธืืขืจ ืืึธืก ืืื ื ืืฉื ืึท ืืขืืช.
{9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (ShLd.dll)
ืื ืงืึธื ืืจืึธื ืืืืคื ืคืื ืึทื OCX ืืขืงืข ืืื ืืืืขืจ ืขื ืืขื ืฆื ืื ืืขืจืข ืึธืกืขืึทื ืืึธืืืก ืงืึทืืคึผืึธืื ืึทื ืฅ - ืคืืืข ืืึทืคึฟืขืื ืกืืงืืืึทื ืกืื JZ/JNZ ะธ PUSH/RET, ืึธืืืขืจื ืืืืื ื ืืื ืืืกื ืงืึธื.
ืคืืืืจืข 11. ืึทืืคืืกืงืึทืืขื ืงืึธื
ื ืึธื ืคืืืืขืจืื ื ืึธืคึผืคืึทื ืงืึธื, ืึทืจืืืกืคืืจื DllRegisterServer, ืืขืจืืคื regsvr32.exe, ืืื ืคืืืืขื ื:
ืคืืืืจืข 12. ืืงืขืจืืืง ืื ืกืืึทืืืขืจ ืงืึธื
ืืืืกืืงืื, ืืืืฃ ืืขืจ ืขืจืฉืืขืจ ืจืืคื DllRegisterServer ืึทืจืืืกืคืืจื ืฉืืขืื ืจืขืืืกืืจื ืืืขืจื HKCUSOFTWAREClassesCLSID{E08A0F4B-1F65-4D4D-9A09-BD4625B9C5A1}Model ืคึฟืึทืจ ืื ืงืจืืคึผืืื ืคืึธืืึธ ืืื DLL (0x10001DE0).
ืืืขื ืื ืคึฟืื ืงืฆืืข ืืื ืืขืจืืคื ืึท ืฆืืืืื ืืึธื, ืขืก ืืืืขื ื ืื ืืขืืืข ืืืขืจื ืืื ืขืงืกืึทืงืืืฅ ืืืึท ืึทื ืึทืืจืขืก. ืคึฟืื ืืึธ ืื ืืืื ืืื ืคืืืข ืึทืงืฉืึทื ื ืืื ืืึทืจืึทื ืืขื ืขื ืืืืขื ืขื ืืื ืขืงืกืึทืงืืืืึทื.
ืื ืฉืขืืงืึธืืข ืืื ืืขืจ ืืขืืืืงืขืจ ืคึผืข ืืึธืืืขืจ ืืขื ืืฆื ืืื ืคืึทืจืืึทื ืืขื ืืืื ืึธืกืขืึทื ืืึธืืืก ืงืึทืืคึผืืื ื. ืขืก ืงืขื ืขื ืืืื ืขืืืึทืืืืืื ื ืืฆื . ืืื ืื ืกืืฃ ืขืจ ืืึทืฉืืขืืืง db293b825dcc419ba7dc2c49fa2757ee.dll, ืืึธืืื ืขืก ืืื ืืึผืจืื ืืื ืขืงืกืึทืงืืืฅ DllEntry.
ืื DLL ืขืงืกืืจืึทืงื ืื ืืื ืืึทืื ืคืื ืืืื ืืืื, ืืขืงืจืืคึผื (AES-256-CBC) ืืื ืืขืงืึธืืคึผืจืขืกืก (LZMA) ืขืก. ืืขืจ ืืืื ืืื ืึท ืกืคึผืขืฆืืคืืฉ ืคึฟืึธืจืืึทื ืืืึธืก ืืื ืืจืื ื ืฆื ืืขืงืึธืืคึผืืืข.
ืคืืืืจืข 13. ืื ืกืืึทืืืขืจ ืงืึทื ืคืืืืขืจืืืฉืึทื ืกืืจืืงืืืจ (KaitaiStruct Visualizer)
ืื ืงืึทื ืคืืืืขืจืืืฉืึทื ืืื ืกืคึผืขืกืืคืืขื ืกืคึผืขืกืืคืืขื - ืืืคึผืขื ืืื ื ืืืืฃ ืื ืคึผืจืืืืืืขืืืข ืืืจืื, ืืืื ืขืจื ืืึทืื ืืืขื ืืืื ืืขืฉืจืืื ืฆื %appdata%IntellogsBackgroundUploadTask.cpl ืึธืืขืจ %windir%System32BackgroundUploadTask.cpl (ืึธืืขืจ SysWOW64 ืคึฟืึทืจ 64-ืืืกื ืกืืกืืขืืขื).
ืืืืึทืืขืจ ืคึผืขืจืกืืกืืึทื ืก ืืื ืื ืฉืืจื ืืืจื ืงืจืืืืืื ื ืึท ืึทืจืืขื ืืื ืืขื ื ืึธืืขื BackgroundUploadTask[junk].jobืืื [junk] ืจืขืคึผืจืึทืืขื ืฅ ืึท ืกืืื ืคืื ืืืืขืก 0x9D ะธ 0xA0.
ืืึทืกืง ืึทืคึผืคึผืืืงืึทืืืึธื ื ืึธืืขื %windir%System32control.exe, ืืื ืืขืจ ืคึผืึทืจืึทืืขืืขืจ ืืืขืจื ืืื ืืขืจ ืืจื ืฆื ืื ืืึทืื ืืึธืืืื ืืืื ืขืจื ืืขืงืข. ืื ืคืึทืจืืึธืจืื ืึทืจืืขื ืืืืคื ืืขืืขืจ ืืึธื.
ืกืืจืึทืงืืฉืขืจืึทืื, ืึท CPL ืืขืงืข ืืื ืึท ืืื ืืื ืึทื ืื ืขืจืืขื ื ืึธืืขื ac8e06de0a6c4483af9837d96504127e.dll, ืืืึธืก ืขืงืกืคึผืึธืจืฅ ืึท ืคึฟืื ืงืฆืืข CPlApplet. ืืขืจ ืืขืงืข ืืขืงืจืืคึผื ืืืึทื ืืืืื ืืืื {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll, ืืขืืึธืื ืืึธืืื ืืขื ืืื ืืื ืจืืคื ืืืึทื ืืืืื ืึทืจืืืกืคืืจื DllEntry.
ืืึทืงืืึธืจ ืงืึทื ืคืืืืขืจืืืฉืึทื ืืขืงืข
ืื ืืึทืงืืึธืจ ืงืึทื ืคืืืืขืจืืืฉืึทื ืืื ืื ืงืจืืคึผืืื ืืื ืขืืืขืืื ืืื ืืืึทื ืจืขืกืืจืกื. ืื ืกืืจืืงืืืจ ืคืื ืื ืงืึทื ืคืืืืขืจืืืฉืึทื ืืขืงืข ืืื ืืืืขืจ ืขื ืืขื ืฆื ืื ืคืจืืขืจืืืงืข.
ืคืืืืจืข 14. ืืึทืงืืึธืจ ืงืึทื ืคืืืืขืจืืืฉืึทื ืกืืจืืงืืืจ (KaitaiStruct Visualizer)
ืืึธืืฉ ืื ืกืืจืืงืืืจ ืืื ืขื ืืขื, ืคืืืข ืคืื โโืื ืคืขืื ืืืึทืืืขืก ืืขื ืขื ืืขืจืืืึทื ืืืงื ืคึฟืื ืื ืืขืืืืื ืืื .
ืืขืจ ืขืจืฉืืขืจ ืขืืขืืขื ื ืคืื ืื ืืืื ืขืจื ืืขื ืืข ืึผืืื ืึท DLL (HttpProv.dll MD5: 2559738D1BD4A999126F900C7357B759), . ืืืขืจ ืืื ื ืื ืึทืจืืืกืคืืจื ื ืึธืืขื ืืื ืึทืืืขืงืืขื ืืืขื ืคืื ืื ืืืื ืขืจื, ืื ืืึทืฉืขืก ืืึธื ื ืื ืืืืึทืื.
ื ืึธื ืคืึธืจืฉืื ื
ืืฉืขืช ืงืึทืืขืงืืื ื ืกืึทืืคึผืึทืื, ืืืจ ืืืืขืจืงื ืขืืืขืืข ืงืขืจืึทืงืืขืจืืกืืืงืก. ืื ืกืคึผืขืกืึทืืึทื ืคึผืื ืงื ืืืกืงืจืืืื ืืื ืืจืืืก ืึทืจืื ืืืื 2018, ืืื ืื ืืขืจืข ืืื ืขืก ืืจืืืก ืืื ืืขืฆืื ืก ืืื ืืืื ืืื ืืืจ ืฆื ืคืจื ืคืขืืจืืืจ 2019. ืื SFX ืึทืจืงืืืื ืืื ืืขื ืืฆื ืืื ืึท ืื ืคืขืงืฆืืข ืืืขืงืืึธืจ, ืืจืึทืคึผืื ื ืึท ืืึทืืืฉืืืึทืืึทื ืืขืงืึธื ืืึธืงืืืขื ื ืืื ืึท ืืืืืข OSX ืืขืงืข.
ืืคืืื ืืืื OceanLotus ื ืืฆื ืฉืืืื ืื ืืืืขืกืืึทืืคึผืก, ืืืจ ืืืืขืจืงื ืึทื ืื ืืืืขืกืืึทืืคึผืก ืคืื SFX ืืื OCX ืืขืงืขืก ืืขื ืขื ืฉืืขื ืืืง ืื ืืขืืืข (0x57B0C36A (08/14/2016 @ 7:15 UTC) ืืื 0x498BE80F (02/06/2009 @ 7:34am UTC) ืจืืกืคึผืขืงืืืืืื). ืืึธืก ืืืกืืึธืืข ืื ืืืงืืืฅ ืึทื ืื ืืืืจืื ืืึธืื ืึท ืืื ืคืื "ืืืืืื ืขืจ" ืืืึธืก ื ืืฆื ืื ืืขืืืข ืืขืืคึผืืึทืืขืก ืืื ืคืฉืื ืขื ืืขืจืื ืืขื ืขืืืขืืข ืงืขืจืึทืงืืขืจืืกืืืงืก.
ืฆืืืืฉื ืื ืืึธืงืืืขื ืื ืืืึธืก ืืืจ ืืึธืื ืืขืืขืจื ื ืืื ื ืื ืึธื ืืืื ืคืื 2018, ืขืก ืืขื ืขื ืคืึทืจืฉืืื ื ืขืืขื ืืืึธืก ืึธื ืืืืึทืื ืื ืืขื ืืขืจ ืคืื ืืื ืืขืจืขืก ืฆื ืื ืึทืืึทืงืขืจื:
- ืื ื ืืึทืข ืงืึธื ืืึทืงื ืืื ืคึฟืึธืจืืึทืฆืืข ืคืื โโืงืึทืืืึธืืืึท ืืขืืืข (New).xls.exe
- ๆๅปบ้ฆ (ไธชไบบ็ฎๅ).exe (ืฉืืืื ืื ืคึผืืฃ ืืึธืงืืืขื ื ืคืื ืึท ืงืื)
- ืืึทืืขืจืงืื ืืขื, ืืืืื ื ืืื USA ืคืื 28-29 ืืืื, 2018.exe
ืืื ื ืื ืืึทืงืืึธืจ ืืื ืืืกืงืึทืืืขืจื {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll ืืื ืื ืืืกืืึทืืข ืคืื โโืืืึทื ืึทื ืึทืืืกืืก ืืืจื ืขืืืขืืข ืจืืกืขืจืืฉืขืจื, ืืืจ ืืืืขืจืงื ืขืืืขืืข ืขื ืืขืจืื ืืขื ืืื ืื ืืึทืืืืึทืจืข ืงืึทื ืคืืืืขืจืืืฉืึทื ืืึทืื.
ืขืจืฉืืขืจ, ืื ืืืืจืื ืื ืืขืืืืื ืจืืืืืืื ื ื ืขืืขื ืคืื ืืขืืคึผืขืจ ืืืืก (DNSprov.dll ืืื ืฆืืืื ืืืขืจืกืืขืก HttpProv.dll). ืื ืึธืคึผืขืจืืืืขืจื ืืขืืึธืื ืคืืจืฉืืืคื ืคึผืึทืงืงืึทืืื ื ืื ืืจืื ืืื (ืื ืจืืข ืืืขืจืกืืข HttpProv.dll), ืืฉืืืื ื ืฆื ืืืืขื ืืืืื ืืืื.
ืฆืืืืืื ืก, ืคืืืข ืืึทืงืืึธืจ ืงืึทื ืคืืืืขืจืืืฉืึทื ืคืขืืืขืจ ืืขื ืขื ืืขืืืื, ืืกืชึผืื ืฆื ืืืกืืืืื ืืืืขืงืฉืึทื ืืื ืคืืืข IoCs ืืขืืืืจื ืื ืืืฆื. ืืืืืืืง ืคืขืืืขืจ ืืึทืืึทืคืืื ืืืจื ืื ืืืืจืื ืึทืจืืึทื ื ืขืืขื:
- ืึทืคึผืงืก ืจืขืืืกืืจื ืฉืืืกื ืืขืืืื (ืืขื IoCs)
- ืืืืขืงืก ืงืึธืืืจืื ื ืฉืืจืืงื ("ืืขืฃ", "ืึทืืง", "ืื")
- ืคึผืึธืจื ื ืืืขืจ
ืฆืื ืกืืฃ, ืึทืืข ื ืืึทืข ืึทื ืึทืืืืื ืืืขืจืกืืขืก ืืึธืื ื ืืึทืข C & Cs ืืืกืืขื ืืื ืื IoCs ืึธืคึผืืืืืื ื.
ืคืืื ืืื ืื
OceanLotus ืืืื ืฆื ืึทื ืืืืืงืืขื. ืื ืกืืืืขืจ ืืจืืคึผืข ืืื ืคืึธืืงืืกื ืืืืฃ ืจืึทืคืื ืืจื ืืื ืืงืกืคึผืึทื ืืื ื ืื ืืืฉืืจืื ืืื ืืขืงืึธืื. ืืืืจืื ืคืึทืจืฉืืขืืื ื ืืืืืข ืคึผืืืืึธืืื ื ืืฆื ืืคืืขืจืงืืึทืืงืืื-ืืจืึทืืื ื ืืึธืงืืืขื ืื ืืืขืืขื ืก ืืขืืข ืืื ืืึทืืืึทืืืง ืฆื ืื ืืืขื ืืืืงืืืืก. ืืื ืึทื ืืืืืงืืขื ื ืืึทืข ืกืงืืื ืืื ืืืื ื ืืฆื ืขืคื ืืืขื ืื ืืืฆื ืืืฉืืจืื, ืึทืืึท ืืื ืื ืขืงืืืึทืืืึธื ืขืืืืึธืจ. ืืขืจืฆื, ืืื ืคึฟืึทืจืืขืกืขืจื ืื ืืืฉืืจืื ืฆื ืจืขืืืฆืืจื ืื ื ืืืขืจ ืคืื ืึทืจืืึทืคืึทืงืฅ ืืืึธืก ืืืืืื ืืืืฃ ืื ืืืฉืื ืขื ืคืื ืืืืงืืืืก, ืืื ืืขืจืืื ืจืืืืกืื ื ืื ืืขืืขืื ืืืึทื ืคืื ืืืืขืงืฉืึทื ืืืจื ืึทื ืืืืืืจืืก ืืืืืืืืืจื.
ืื ืืึทืงืืืืขืจื ืคืื ืงืึธืืคึผืจืึธืืืก
ืื ืืืงืึทืืึธืจืก ืคืื ืงืึธืืคึผืจืึธืืืก ืืื MITER ATT&CK ืึทืืจืืืืืฅ ืืขื ืขื ืืืจืขืืืืื ะธ .
ืืงืืจ: www.habr.com
