“海莲花”组织攻击来袭 8827太阳集团IPS精确阻击
颁布功夫 2018-07-19海莲花（OceanLotus、APT32）是一个重要针对我国提议APT攻击的黑客组织。。 。。。自2014年提议高强度攻击以来，，， ，，该组织的攻击活动出现愈演愈烈的趋向，，， ，，其不休更新的攻击手法及变种木马就是最好的证明。。 。。。8827太阳集团金睛团队上月初颁布过海莲花组织一种新型攻击的事务分析，，， ，，最近，，， ，，8827太阳集团IPS产品及安全团队又为客户立了一功，，， ，，成功发现并阻止了已存在数天的莲花组织的变种攻击。。 。。。
该客户新部署了天清入侵防御系统（简称天清NGIPS），，， ，，在上线后的例行巡检时，，， ，，客户治理员就发现了大量攻击报警，，， ，，如图：
报警的事务名称为“DNS_后门_Win32.Denis_衔接”，，， ，，源IP是客户内网的一台沉要服务器，，， ，，其频仍向一个境表IP发送异常DNS要求。。 。。。凭据IPS报警事务描述，，， ，，Denis是一个职能壮大的后门，，， ，，通过DNS和谈与其C&C节造端通讯，，， ，，也是海莲花组织的专用后门法式之一。。 。。。 固然该攻击已被IPS实时阻断，，， ，，但频仍的攻击报警批注，，， ，，发滋事务的服务器应该已被植入了Denis木马。。 。。。该问题引起了客户的高度关注，，， ，，随即联系8827太阳集团当局大客户安全服务团队进行现场支持。。 。。。
安全团队达到现场后，，， ，，凭据IPS的报警信息进行了异常服务器主机的排查工作，，， ，，通过对主机流量、过程、内存等深刻分析，，， ，，确认该服务器的确被植入了Denis木马，，， ，，并发现该服务器上的恶意js剧本已经被删除，，， ，，通过系统功夫戳判断，，， ，，该木马已被植入数日，，， ，，直到最近被新上线的8827太阳集团IPS发现。。 。。。以下是具体的分析过程。。 。。。
分析过程
一、在异常服务器上使用流量监控工具，，， ，，发现了svchost法式频仍向表发送DNS要求。。 。。。
而此特点与海莲花Denis变种的特点险些一致。。 。。。该家族以往的数据加密方式如下：首先对受害者机械名进行unicode编码，，， ，，再使用字符代替的步骤天生新的字符串[具体为0---->g,1---->h,2---->i,3---->j,4---->k, 5---->l,6---->m,7---->n,8---->o,9---->p]，，， ，，随后与其他固定字符串及C&C域名进行拼接，，， ，，最平天生类似的DNS要求。。 。。。
经过同样的方式解密，，， ，，发现解密的数据的确为该习染主机的主机名，，， ，，因而能够确认这是海莲花新变种的一次成功攻击。。 。。。
而凭据以往经验，，， ，，这次发包行为很有可能仅为了获取后续真实的发包地址。。 。。。
二、除发现svchost过程在进行异常操作表，，， ，，wscript.exe也在持续运行，，， ，，通过查看该法式所挪用的号令行，，， ，，发显熹执行过一个名为Nodejs.js的剧本，，， ，，而该js文件已被删除。。 。。。
对比此前与海莲花有关的汇报，，， ，，其通常攻击手法是利用wscript.exe挪用一个vbs剧本，，， ，，能够看出本次攻击已对战术做了变动。。 。。。
三、由于有关恶意剧本已被删除，，， ，，排查时仅在内存中运行，，， ，，因而通过对当前内存进行分析，，， ，，发此刻内存中运行着一个异常dll文件。。 。。。
从文件名来看，，， ，，该样本与ESET所颁布的海莲花后门名一致。。 。。。因而能够明确，，， ，，攻击者首先通过某些伎俩令wscript运行Nodejs.js，，， ，，使之执行shellcode后，，， ，，将该dll文件开释到内存并运杏祝。 。。。
四、通过对wscript.exe进行流量监控，，， ，，发显熹一向在使用http和谈持续衔接一个IP地址，，， ，，并试图衔接图示域名。。 。。。
显然，，， ，，此行为现实为{A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll所进行的操作，，， ，，其使用的是统一种加密方式。。 。。。同时也能够确认，，， ，，该域名才是这次海莲花攻击过程中的真实C&C服务器，，， ，，用于进行后续的号令节造。。 。。。
最后，，， ，，由于该系统上并没有装有邮件系统，，， ，，因而能够确定这次攻击的手法并非鱼叉攻击，，， ，，凭据用户网络环境猜测，，， ，，很可能是在服务器上点击了挂马网站而被入侵。。 。。。
这次攻击在IPS及VenusEye威胁谍报中心均已有明确标识，，， ，，如下：
● IPS告警事务
● 通过VenusEye威胁谍报中心能够查到与这次行动有关的IOC信息，，， ，，能够看到该IOC已经被谍报中心标识为APT32（海莲花）
建议
海莲花组织的攻击手法复杂多变且荫蔽性高，，， ，，我们建议客户在日常安全治理中不只有实时关注海莲花组织有关的攻击事务，，， ，，并且要选取组合机造来发现和防御海莲花的威胁。。 。。。具体建议如下：
● 实时更新IPS、IDS、WAF等攻击防护设备的特点库，，， ，，沉点关注海莲花组织有关的已知攻击事务，，， ，，凭据报警事务进行排查。。 。。。
● 部署未知攻击检测措施，，， ，，如APT检测产品，，， ，，以便对海莲花组织进行的新型鱼叉攻击、水坑攻击进行检测，，， ，，而后通过与IPS的联动机造，，， ，，阻断攻击。。 。。。
8827太阳集团IPS产品由专业攻防技术钻研及研发团队自主开发，，， ，，在新威胁的跟踪，，， ，，精确防御以及高级威胁的防御能力方面，，， ，，处于业界当先水平，，， ，，获得宽泛的用户认可。。 。。。据CCID最新统计数据，，， ，，8827太阳集团已陆续16年排名国内IDS/IPS市场第一，，， ，，且已陆续2年入围Gartner IDPS魔力象限。。 。。。
金睛安全钻研团队是8827太阳集团集团检测产品本部专业从事威胁分析的团队。。 。。。重要职责是对现有产品网络上报的安全事务、样本数据进行挖掘、分析，，， ，，并向用户提供专业分析汇报，，， ，，自成立以来先后颁布了《海德薇 Hedwig 组织分析汇报》、《绕过 UAC 的恶意样本分析汇报》等数十份专业安全分析汇报。。 。。。
京公网安备11010802024551号