这部分代码由于开发人员的疏忽在strfind之后没有将返回值置为-1。

导致在代码后续执行过程中会执行从数据包中传来的命令

海莲花非常善于使用测绘平台对全网进行测绘。在使用Nday漏洞时并没有我们想象的具有定向性，批量入侵所有带有漏洞的站点并进行筛选，如果存在高价值的目标则进一步横向移动，其余的当作代理方便海莲花的活动。例如，我们曾在一个色情网站上发现了海莲花投递的webshell和木马。

海莲花利用老版本showdoc任意文件上传漏洞上传webshell

接着上传了使用开源loader生成的CS木马。

木马回连的C2为海莲花控制的IOT跳板，海莲花从去年初就开始对路由器、摄像头等IOT设备进行攻击，入侵成功后植入tinyPortMapper端口转发软件，将跳板服务器的高端口的流量转发到攻击者真正的CS服务器上。

上传的dropbear如下图所示

最终攻击者植入的了一个基于arm架构的linux木马，方便长期控制，之后会根据业务方向设置转发，最近我们观察到海莲花将转发软件从tinyPortMapper换成了Gost。

在内网横向移动方面，我们观察到海莲花使用CVE-2020–14882 WebLogic远程命令执行漏洞、CVE-2021-22986 F5 BIG-IP iControl REST未授权远程命令执行漏洞和Jboss反序列化漏洞在内网中漫游，然后会在内网重要节点的服务器上创建Powershell Webserver，并在上面存储加密的CS payload。

代码源于github项目Powershell-Webserver

通过powershell内存加载mimikatz的方式拿到域管的账号密码后开始使用windows.vbs进行横向移动投递木马。

经过分析发现该VBS源于github项目WMIHACKER

投递的木马会向内网powershell服务器请求加密的payload并加载。

最近我们观察到海莲花开始使用亚马逊的cdn云函数作为CobaltStrike的C2服务器。

海莲花会使用各式各样的免杀loader去加载CS后门从而绕过杀软查杀，如使用NIM语音编写的loader

经过对比发现为开源隧道工具RPIVOT

第二个样本为Golang编写隧道木马，该样本一般会注入到系统进程中不落地， 我们推测海莲花是基于smux和cli两个库自行开发的隧道木马。

接着将获取到的数据通过内网代理的方式加密发送到图床网站上。

找到日志服务的进程PID，接着挂起该进程。

插件三的功能逻辑如下，加载资源节中的shellcode

添加新账号，账号名称和密码分别为 "DefaultAccount2"、"!2345^Abc"

把新账号加入管理员组，并禁用UAC远程限制

• 释放文件、执行文件

• 访问指定 URL 下载文件

• 检查指定文件

• 读取指定文件中指定偏移、指定长度的数据

• 删除指定文件/目录

• 执行 Shell 命令

caja 的整体执行流程如下：

• 都惯用 AES 加密和 XOR 编码

• 对于失陷主机的 root 用户和非 root 用户区别对待

• 网络数据包整体结构，都是 Header, Key, Payload 三段拼接

• 都会用 cat /etc/*release ，cat /etc/issue 等命令来获取系统信息

• AES 加解密的 IV 都是硬编码的 \x00\x00\x00\x00\x00\x00\x00\x00

• 双头龙的关键字符串会用 Stack String 的方式做隐藏，caja 没有使用 Stack Strings

• caja 的 C&C 由硬编码 Key 的 XOR 编码处理，而双头龙的 C&C 则使用 AES 加密和 Rotate 编码

• 双头龙的 AES S_Box 是动态生成的，而 caja 的 AES S_Box 是硬编码的

• 双头龙还会对关键信息进行 ZLib 压缩， caja 没有使用压缩处理

• 创建守护进程的方式不同，双头龙会直接调用 daemon() 系统接口来创建守护进程，caja 会有条件地通过手动 fork 的方式创建守护进程

• 指令码没有相同之处，各个指令对应的功能也大不相同

caja 进程启动时，如果传入参数的数量（argc) 小于或等于 2 ，则会创建守护进程，否则就以普通进程的方式运行：

caja 的 C&C 通过固定的 Key 0xFFABFACB 经过 XOR 循环解码得来：

caja 样本中还有很多关键字符串，都用与 C&C 编码同样的方式做了循环 XOR 编码，解码之后如下：

/dev/urandom/dev/random/var/lib/libuuid/clock.txtclock: %04x tv: %lu %lu adj: %d\nclock: %04x tv: %016lu %08lu adj: %08d\naddressuid=%d(%s)/system/build.propro.product.manufacturerro.product.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 2>/dev/nulluname -a 2>/dev/nullwhoami 2>/dev/nullcat /proc/cpuinfo 2>/dev/nullcat /proc/meminfo 2>/dev/nullcat /proc/version 2>/dev/nullcat /proc/partitions 2>/dev/nullcat /etc/*release /etc/issue 2>/dev/null 00:00:00:00:00:00/sys/devices/virtualdevice/proc/self/exe/dev/etc/var/tmp/tmpGET %s HTTP/1.1\r\nHost: %s\r\nConnection: close\r\n\r\n

cat /proc/cpuinfo 2>/dev/nullcat /proc/meminfo 2>/dev/nullcat /proc/version 2>/dev/nullcat /proc/partitions 2>/dev/nullcat /etc/*release /etc/issue 2>/dev/null

# 针对 root 用户的单一实例 Lock 文件目录/dev/etc  # 针对非 root 用户的单一实例 Lock 文件目录/var/tmp/tmp

# 非 root 用户TfpnZdTBdWnUyiYQPlveDFywVbvWHOfATupSZiVEGLyfTYVJkSNpxNLUrIRYwyySSqmtyiAfTYMoXjXJbnYaCJwTUPRqnSKHiXbi# root 用户iIOfeDzvkmWweezveDUBzsfbHKNLMgjwOABSFaQQmomrsLoYQicqdhrKRfvflhBZHctmEjEsyQJsezrUItMLAeXTLUAybDZkFsZL

• root 用户：.MgjwOABSFaQ
• 非 root 用户：.HOfATupSZiV

文件最终存入的目录为以下目录之一：

• /dev/

• $HOME

• /etc/

• 当前进程文件所在的目录

• /var/tmp/

• /tmp/

1. 生成 10-15 个随机小写字母字符串

2. 将上述字符串用 [] 括起来，形成一个如 [lkjsdiorethgn] 的进程名

• UUID Bytes

• Magic Number(Version Number)

• hostname

• pid

• 未修改进程名之前的进程文件路径

• 网卡接口及 IP 地址

• 系统和网络配置信息

• 一系列 cat 命令执行查到的详细系统配置信息

 struct payload_field {     char* data_ptr;     int data_len; }

1. 生成随机的单字节 XOR Key

2. 对 UUID 字节串中的每个字节，奇数序的字节做 XOR 编码，偶数序的字节做逻辑非运算

3. 将 UUID 的 data_len/XOR Key/编码后的字节数据拼接起来，形成如下结构：

后面的每个 Payload 字段，都用相同的逻辑进行编码、拼接处理，最后整体的结构如下：

可以看到最前面的 uuid 字段，前 4 个字节表示长度 0x10，第 5 个字节 0x3d 是本字段的随机 XOR Key，后面 0x10 的字节就是实际的数据字节，后面依此类推。

生成Payload完成后开始进入Header包构造流程在样本中用长度为 0x35 的结构体表述，结构体对象创建代码如下：

• 生成 [0x5, 0xF] 之间随机长度的一段数据，作为 Payload AES 加密的密钥。该密钥的长度存放在 Register Header 偏移 0x08 处，密钥数据的地址存放在偏移 0x25 处；

• 把前面生成的 Register Payload 数据的地址赋予 Header 偏移 0x2D，数据长度存放于 Header 的偏移 0x0B 和 0x15 处

• 在 Header 偏移 0x11 处设置上线包的指令码为 0xB76E

1. 从第 6 个字节开始，先进行逐字节编码（XOR/逻辑非和其他），XOR Key 为前 5 个字节

2. 再把第一步编码过后的 0x25 个字节做翻转(Reverse)

最终形成的上线包概要结构如下：

目前，基于奇安信威胁情报中心的威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、奇安信天狗漏洞攻击防护系统、天擎、天眼高级威胁检测系统、奇安信NGSOC、奇安信态势感知等，都已经支持对此类攻击的精确检测。

【1】https://mp.weixin.qq.com/s/dGW0FrbZZ5UA6KuuZB8J_g

点击阅读原文至ALPHA 5.0

即刻助力威胁研判