针对性伪装攻击，终端信息安全的间谍--海莲花 APT

*2012年4月，首次发现某境外黑客组织对中国政府、科研院所、海事机构、海域建设、航运企业等相关重要领域展开了有组织、有计划、有针对性的长时间不间断攻击。该组织主要通过鱼叉攻击和水坑攻等方法，配合多种社会工程学手段进行渗透，利用木马程序入侵并控制特定目标人群的终端系统，窃取相关的机密资料。根据该组织的攻击特点，将其命名为“海莲花”（OceanLotus）。

“海莲花”组织自首次发现以来，已被发现先后使用了4种不同形态的木马程序。初期的木马程序并不复杂，比较容易被发现和查杀。但近年来捕获的“海莲花”攻击样本均增加了一系列复杂的攻击技术，防护查杀的难度也呈正比增加。

此次深信服终端安全团队捕获的样本就具备了以下特征：

• 白加黑投递，利用正常软件加载恶意攻击载荷

• 精确攻击，只有特定主机才能解密执行远控木马

• 多重加密，在生成最终载荷前，执行了四次解密操作

执行流程图如下：

lenovodrvtray启动时会加载恶意文件DgBase.dll

该段代码同样是经过加密的，在执行前会不断异或解密汇编代码

1. 深信服下一代防火墙AF、终端检测响应平台EDR、安全感知平台SIP等安全产品，已集成了SAVE人工智能引擎，均能有效检测防御此恶意软件，已经部署相关产品的用户可以进行安全扫描，检测清除此恶意软件，如图所示：

日常防范措施：

1. 及时给系统和应用打补丁，修复常见高危漏洞；

2. 不要点击来源不明的邮件附件，不从不明网站下载软件；

3. 避免使用弱密码，定时进行密码修改以及加固；

4. 定期查看终端日志，检查终端是否存在异常行为。

深信服千里目安全实验室

深信服科技旗下安全实验室，致力于网络安全攻防技术的研究和积累，深度洞察未知网络安全威胁，解读前沿安全技术。

● 扫码关注我们

本文始发于微信公众号（深信服千里目安全实验室）：针对性伪装攻击，终端信息安全的间谍--海莲花 APT