趋势科技发现明明为Earth Kitsune的攻击组织通过破坏与朝鲜有关的网站并托管恶意程序，正在向对朝鲜感兴趣的个人发起水坑攻击。

使用IP筛选受害者

图1 原始页面（左）与注入脚本的页面（右）的网页内容比较

图2 被注入的网站会重定向下载恶意MSI安装程序

滥用合法程序

图3 原始程序被增加了一个新节（.odata）去用来存储恶意shellcode

图4 安装程序入口被修改为立即跳转到shellcode

图5 解密后的shellcode会执行powershell命令下载后续的恶意文件

图6 重新恢复原始程序入口

修改vcruntime140.dll，利用OneDrive建立持久性

vcruntime140.dll同样时被修改的合法文件，修改后的文件放置在%LOCALAPPDATA%\microsoft\onedrive\vcruntime140.dll，默认每个用户的OneDrive会安装到位置，通过将DLL放置到OneDrive目录，以用来获得持久性。

修改后的vcruntime140.dll中memset函数被劫持，并同样增加了一个.odata节区，新节区代码中会先使用xor解密，并将载荷注入到werfautl.exe进程。

图7 原始的memset函数函数

图8 修改后的memset函数，0x18000C7D被修改为jmp跳转到shellcode

利用Chrome扩展的持久化后门

攻击者实现了一个chrome扩展的持久化后门，后门包含一个Installer.exe(Chrome扩展程序安装程序)、一个NativeApp.exe(原生应用程序)和多个Chrome扩展文件（background.js、mainfest.json、icon.png）。执行安装后，每当chrome启动时会调用攻击者在本地安装的恶意扩展，之后恶意扩展会选择通知原生应用执行命令或下载后续恶意文件。

由于在Chrome的机制中只有native messaging host（原生应用程序）才能调用Native API，所以攻击者使用NativeApp来实现具体的恶意行为。chome 扩展程序使用stdin/stdout（标准输入输出）与原生应用程序进行消息通讯，消息格式为为JSON格式的字符串。

图9 mainfest.json配置文件显示了其注册信息，stdio表示使用标准输入输出与NativeApp.exe进行通讯

图10 background.js显示会在Chrome启动收到通知