主要观点总结
本文主要介绍了新海莲花组织的技术特点、攻击手段、目的等信息，包括其使用多个0day漏洞针对特定领域开展间谍活动，内存技战术，以及针对安全产品的对抗方式等。同时，文章还提到了老海莲花继承攻击资源发起的新一波供应链事件，以及APT组织融入国内黑灰产上下游的现象。最后，文章总结了针对此类攻击的精准检测方法。
关键观点总结
关键观点1: 新海莲花组织的技术特点
新海莲花组织通过终端软件0day漏洞向内网特定终端下发恶意更新，实现供应链攻击。该组织在内存中精准告警所有内存插件，使用Cobalt Strike等工具有特定的特征，如屏幕截图并发送到C2服务器。此外，该组织还使用了多种插件如文件名收集插件、管道特马、ssh登录插件等。
关键观点2: 新海莲花组织的攻击目的
新海莲花组织的攻击目的似乎是为了窃取我国能源和军工领域在中东、中亚、非洲、东亚的部署情况。该组织的攻击行为可能服务于东南亚国家的情报服务，同时也不排除其他域外大国的可能性。
关键观点3: APT组织的融合与对抗方式
APT组织已经深度融入国内黑灰产上下游中，通过购买国内VPS服务器作为代理和C2。老海莲花继承了新海莲花的攻击资源，并通过一些渠道购买国内VPS来发起新的供应链事件。这些APT组织对安全产品也有一定的对抗方式，如针对360安全卫士和天擎EDR的对抗手段。
关键观点4: 精准检测方法
基于奇安信威胁情报中心的威胁情报数据的全线产品已经支持对此类攻击的精确检测，包括奇安信威胁情报平台（TIP）、天擎、天眼高级威胁检测系统等产品。
正文
新海莲花组织最早出现于2022年中，直到2023年底转入不活跃状态，2024年11月重新活跃并被我们快速制止并披露
[1]
，在2023年全年新海莲花组织展示出于以往完全不同的技战术，进攻水平也比之前提升很多，该组织使用多个 0day 漏洞针对我国军工、能源、航空等领域开展间谍活动，意图窃取我国能源和军工领域在中东、中亚、非洲、东亚的部署情况。
本文仅作为安全研究，我们不关注初始样本载荷，主要披露新海莲花组织内存插件和间谍目的，天擎EDR可以在内存中精准告警新海莲花组织所有内存插件，我们建议政企客户启用云查功能来发现未知威胁。
新海莲花组织通过终端软件 0day 漏洞向内网特定终端下发恶意更新，实现供应链攻击。在目前国内错综复杂的安全产品生态下，这种攻击模式是所有 APT 组织的最优解，并不是海莲花组织独有的手法
[2]
，我们甚至观察到针对国内的勒索软件运营商也有类似的操作，区别在于勒索运营商会向全内网终端下发勒索软件，而 APT 组织则是选择特定的目标终端后下发，新海莲花组织内存技战术如下：
新海莲花组织在 2022-2023 年所使用的 Cobalt Strike 有一个非常明显的特征：
木马运行后会自动将当前的屏幕截图保存为 PNG 格式并发送到 C2 服务器上，如果恰好此时攻击者正处于 RDP 的状态，那么就能在受害者机器上得到一张攻击者双击木马程序的照片：
Cobalt Strike 注入到系统进程后会在当前进程中内存加载 Rust 特马并回连新的 C2，Rust 特马的分析友商已经有过分析，故不再赘述。接着通过 Process Hollowing 的方式将文件目录收集插件注入到系统进程中。
该插件为 20 KB大小的 Shellcode，首先会获取 Temp 路径，并生成一个 UUID 与路径拼接作为中间文件。
接着会遍历文件，收集受害设备上的指定后缀文件，并将结果与 0xF1 异或后写入文件。
解密后的文件格式如下，会收集文件名和该文件的创建、修改、访问时间。
收集的指定后缀如下：pdf、png、jpg、ppt、pptx、one、ini、pfx、config、xmind、conf、ofd、7z、wpt。
将读取到的内容重新与 0xF1 解密后，重新进行加密。
最后将加密的内容再与 0xF2 异或后写入文件 C:\Programdata\SogouInput.xml中。
攻击者会在后端对 xml 文件进行分析，最终挑选出窃取的目标文件，窃取完文档后攻击者如果选择进一步横向移动，一般会通过 Process Hollowing 的方式将管道特马注入到系统进程中。
该管道特马所在的内存块固定大小 0x35000，创建名为 \\.\pipe\InitStarts 的管道循环监听。
通信过程中定义了一个结构体，创建线程并将结构体当作参数传入。
该线程会持续读取管道中的数据，并将数据解密后传递给工作线程，同时获取工作线程执行后的数据再解密传输到管道中。
工作线程中有大量的功能性函数，例如：文件管理、shellcode加载、命令执行等。
我们观察到新海莲花组织通过管道内存加载了 ssh 登录插件。
该插件功能就是通过内置的账密登录内网 linux 服务器：
密码为弱口令，可以推测攻击者是通过爆破的方式获取到服务器密码
通过 history 日志可以确认攻击者在浏览服务器上的目录并打包数据。
新海莲花组织在入侵边界服务器时如：web服务器、防火墙等设备会使用一款
Win | linux 双平台的特马，该特马最早在防火墙上被发现，很长一段时间内我们认为该特马只在边界服务器上部署，但是在一次对抗的过程中发现该特马被注入到 Windows的系统进程中，并且注入时间离 Cobalt Strike 的植入时间晚一周。
新海莲花组织通过该特马执行 CMD 命令，添加根证书
“certutil -addstore "ROOT" client.cer”，添加完成后选择在磁盘落地 DLL，此时的 DLL 带有数字签名，用于免杀 EDR。
新海莲花组织似乎是为数不多能够分清楚360安全卫士和天擎EDR两款杀软的APT组织，在此之前很多APT组织都认为只要能够免杀360安全卫士就能够绕过天擎EDR。新海莲花刚开始活动时使用了两种新方法分别针对360安全卫士和天擎EDR，但是很快被我们和友商发现并及时进行对抗。释放名为 propsys.dll，判断加载该 DLL 的进程是否为 360baobiao.exe
DLL 的主要功能通过 DeviceIOCtontol 关闭自保。
之后休眠 zhudongfangyu.exe 和 360rps.exe 进程，实现致盲的效果。
