「海蓮花」組織攻擊來襲 啟明星辰IPS精確阻擊

海蓮花（OceanLotus、APT32）是一個主要針對我國發起APT攻擊的黑客組織。自2014年發起高強度攻擊以來，該組織的攻擊活動呈現愈演愈烈的趨勢，其不斷更新的攻擊手法及變種木馬就是最好的證明。啟明星辰金睛團隊上月初發布過海蓮花組織一種新型攻擊的事件分析，最近，啟明星辰IPS產品及安全團隊又為客戶立了一功，成功發現並阻止了已存在數天的蓮花組織的變種攻擊。

該客戶新部署了天清入侵防禦系統（簡稱天清NGIPS），在上線後的例行巡檢時，客戶管理員就發現了大量攻擊報警，如圖：

報警的事件名稱為「DNS_後門_Win32.Denis_連接」，源IP是客戶內網的一台重要伺服器，其頻繁向一個境外IP發送異常DNS請求。根據IPS報警事件描述，Denis是一個功能強大的後門，通過DNS協議與其C&C控制端通信，也是海蓮花組織的專用後門程序之一。 雖然該攻擊已被IPS實時阻斷，但頻繁的攻擊報警表明，發生事件的伺服器應該已被植入了Denis木馬。該問題引起了客戶的高度關注，隨即聯繫啟明星辰政府大客戶安全服務團隊進行現場支持。

安全團隊到達現場後，根據IPS的報警信息進行了異常伺服器主機的排查工作，通過對主機流量、進程、內存等深入分析，確認該伺服器確實被植入了Denis木馬，並發現該伺服器上的惡意js腳本已經被刪除，通過系統時間戳判斷，該木馬已被植入數日，直到最近被新上線的啟明星辰IPS發現。以下是具體的分析過程。

分析過程

一、在異常伺服器上使用流量監控工具，發現了svchost程序頻繁向外發送DNS請求。

而此特徵與海蓮花Denis變種的特徵幾乎一致。該家族以往的數據加密方式如下：首先對受害者機器名進行unicode編碼，再使用字元替換的方法生成新的字元串[具體為0---->g,1---->h,2---->i,3---->j,4---->k, 5---->l,6---->m,7---->n,8---->o,9---->p]，隨後與其他固定字元串及C&C域名進行拼接，最終生成類似的DNS請求。

經過同樣的方式解密，發現解密的數據確實為該感染主機的主機名，因此可以確認這是海蓮花新變種的一次成功攻擊。

而根據以往經驗，此次發包行為很有可能僅為了獲取後續真實的發包地址。

二、除發現svchost進程在進行異常操作外，wscript.exe也在持續運行，通過查看該程序所調用的命令行，發現其執行過一個名為Nodejs.js的腳本，而該js文件已被刪除。

對比此前與海蓮花相關的報告，其通常攻擊手法是利用wscript.exe調用一個vbs腳本，可以看出本次攻擊已對策略做了變化。

三、由於相關惡意腳本已被刪除，排查時僅在內存中運行，因此通過對當前內存進行分析，發現在內存中運行著一個異常dll文件。

從文件名來看，該樣本與ESET所發布的海蓮花後門名一致。因此可以明確，攻擊者首先通過某些手段令wscript運行Nodejs.js，使之執行shellcode後，將該dll文件釋放到內存並運行。

四、通過對wscript.exe進行流量監控，發現其一直在使用http協議持續連接一個IP地址，並試圖連接圖示域名。

顯然，此行為實際為.dll所進行的操作，其使用的是同一種加密方式。同時也可以確認，該域名才是此次海蓮花攻擊過程中的真實C&C伺服器，用於進行後續的命令控制。

最後，由於該系統上並沒有裝有郵件系統，因此可以確定此次攻擊的手法並非魚叉攻擊，根據用戶網路環境猜測，很可能是在伺服器上點擊了掛馬網站而被入侵。

此次攻擊在IPS及VenusEye威脅情報中心均已有明確標識，如下：

● IPS告警事件

● 通過VenusEye威脅情報中心可以查到與此次行動相關的IOC信息，可以看到該IOC已經被情報中心標識為APT32（海蓮花）

建議

海蓮花組織的攻擊手法複雜多變且隱蔽性高，我們建議客戶在日常安全管理中不但要及時關注海蓮花組織相關的攻擊事件，而且要採用組合機制來發現和防禦海蓮花的威脅。具體建議如下：

● 及時更新IPS、IDS、WAF等攻擊防護設備的特徵庫，重點關注海蓮花組織相關的已知攻擊事件，根據報警事件進行排查。

● 部署未知攻擊檢測措施，如APT檢測產品，以便對海蓮花組織進行的新型魚叉攻擊、水坑攻擊進行檢測，而後通過與IPS的聯動機制，阻斷攻擊。

啟明星辰IPS產品由專業攻防技術研究及研發團隊自主開發，在新威脅的跟蹤，精確防禦以及高級威脅的防禦能力方面，處於業界領先水平，獲得廣泛的用戶認可。據CCID最新統計數據，啟明星辰已連續16年排名國內IDS/IPS市場第一，且已連續2年入圍Gartner IDPS魔力象限。

金睛安全研究團隊是啟明星辰集團檢測產品本部專業從事威脅分析的團隊。主要職責是對現有產品搜集上報的安全事件、樣本數據進行挖掘、分析，並向用戶提供專業分析報告，自成立以來先後發布了《海德薇 Hedwig 組織分析報告》、《繞過 UAC 的惡意樣本分析報告》等數十份專業安全分析報告。

?

END

?

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！