剖析海莲花组织恶意文件定制化策略

海莲花（OceanLotus、APT32）APT团伙是一个高度组织化的、专业化的境外国家级黑客组织，其最早由国内安全厂商发现并披露。该组织至少自2012年4月起便针对周边地区国家政府、科研院所、海事机构、海域建设、航运企业等相关重要领域展开了有组织、有计划、有针对性的长时间不间断攻击。

深信服安全蓝军高级威胁研究团队也一直在追踪与研究该组织的活动与攻击动向，我们在外部于2021年11月23日发现了一个恶意文件，经过研判确定是属于该组织的攻击文件，该文件的原始文件名为HWSignature.dll，存在四个导出函数“AiDisableDesktopRpcInterface”、“AiEnableDesktopRpcInterface”、“ServiceMain”、“SvchostPushServiceGlobal”。

在整个针对该恶意文件的分析过程中，我们发现程序的逻辑里并未判断当前加载的母体进程的名称，而是直接执行后续的恶意代码，所以针对该恶意 dll 文件的加载白文件，从分析的恶意代码的逻辑里暂时未知。但经过后续分析人员的深度搜索发现是属于伪装成搜狗拼音输入法的 dll 组件，于是此恶意dll文件的白文件应当是属于搜狗输入法的可执行文件。

于是可以得出结论，此次恶意文件的利用模式依然为该组织一贯的“白+黑”手法，白文件为正常的带签名的国内流行应用程序的exe文件，黑文件则为攻击者自行伪装的恶意的同名dll组件。该恶意文件的互斥量值为"1a2f7af7-cb24-4573-90d4-549327841387"，已经内嵌在恶意文件内部。后续发现采用劫持入口加滑行指令执行的手法在母体进程里（也就是正常的白文件）执行后续的核心函数，如下为劫持入口。

在白文件的进程内部执行最终的核心函数，如下。

经过与2021年11月23日发现的恶意文件 HWSignature.dll 的代码比对发现，存在差异的部分主要是 VERSION.dll 增加了对加载母体的文件名判断的逻辑，如果 dll 在被执行的过程中检测到当前加载的母体并非为内嵌的名称，则不执行后续的恶意代码而会直接退出进程，这种逻辑一定程度上规避了自动化分析系统对恶意文件的检测。

从后续的调试过程可以发现，该恶意文件存在着加密解密的过程，属于该组织近些年来一贯采用的定制化策略，如若没有对应受害系统的唯一特征，则无法解密执行后续的shellcode，从而无法得到最终回连的 C&C 地址等更多价值信息。

此恶意文件提取的受害系统的唯一特征为受害机器操作系统的安装时间，恶意文件采用COM的方式执行命令"SELECT * FROM Win32_OperatingSystem"，获取字段" InstallDate"对应的值，这里本地调试过程中获取的系统安装时间值为："20190615115013.000000+480"。

将获取的操作系统的安装时间时间戳进行转换为正常的日期时间："06/15/2019T11:50"，如下。

采用 md5 哈希算法计算之前获取的安装日期值的哈希值，如下。

计算得到的哈希值为：82 03 8C 08 1A 12 8C E4 01 0F 78 CC 0D 57 70 94，经过本地手工核算一致也确认为属于 md5 哈希值。

来到后续的逻辑里，此处存在要比较的哈希值为：D1 12 79 75 0A 84 21 B8 A0 86 88 63 96 8F EC F1。

如果比较的哈希值与 D11279750A8421B8A0868863968FECF1 不相等，则后续直接退出进程。

最终回到解密的流程中会发现可以解密成功，如下选中的一段数据为解密后的shellcode开头部分。

之后的逻辑是会申请内存空间，创建线程执行解密成功后的最终 shellcode。

幸好最终的 shellcode 实质属于知名攻防工具 CobaltStrike的beacon 程序，且并未存在利用受害机器唯一特征标识作为密钥而解密的逻辑，所以我们可以人工解析得到相关的配置如下，从配置上看确实也属于伪装了搜狗的应用程序的流量来欺骗相关的流量安全设备。

在2021年已经捕获的该组织相关攻击文件的具体表现方面，海莲花组织植入目标系统的后门依然存在定制化的特点，要解密后续的 shellcode 需目标主机某个特征标识（比如主机名、IP地址或者MAC地址）的hash值作为密钥才能成功解密，但是除了主机名、IP地址或者MAC地址外，我们还发现存在有针对当前加载的母体进程文件名的hash作为密钥的情况，而除了上述这些特征标识外，本文中提及的是采用系统安装时间的hash值作为密钥的逻辑。一路走来，在获取到的大部分恶意文件的分析过程中无一例外都会遭遇该类定制化的困难，我们无法获取更多价值信息，阻碍了对该组织的追踪与研究进展，然而这次属于比较幸运，攻击者在加密解密的编写逻辑过程中存在疏忽，留给了我们解决困难的机会，最终获取了更多价值信息。