[翻译]来自海莲花（OceanLotus）打造的全新基于macOS后门-外文翻译-看雪-安全社区|安全招聘|kanxue.com

[翻译]来自海莲花（OceanLotus）打造的全新基于macOS后门

发表于: 2017-7-11 00:04 6052

[翻译]来自海莲花（OceanLotus）打造的全新基于macOS后门

南极小虾

2017-7-11 00:04

6052

介绍

最近在我们WildFire云分析平台上发现了一个新版本的“海莲花（OceanLotus）”后门，这可能是我们在macOS更新日志中比较新的后门。这次迭代的目标是一些在越南的感染用户，同时也修复了低级的AV检测问题，这个问题自从第一次发现，到现在将近有一年了。如果忽略非正式的几次更新，这个系统的使用情况还是很活跃的，在我们分析的时候也就是2017年6月份上旬，我们可以直接通过发送命令连接和控制服务器。

虽然这个看起来和2015年5月份发现的海莲花（OceanLotus）的一个例子很相似，但从那时起已经有了各种各样的改进。一些改进包括病毒文件的使用，去除使用命令行工具，完善的字符串编码机制，使用加密的自定义二进制协议通信量，还有一个模块化的后门。

感染途径

新的海莲花后门是渗透在一个zip文件中。虽然我们没有直接的原始感染路径证据，但我们推测它很可能通过电子邮件附件。一旦用户提取了ZIP文件，就会看到一个目录，其中包含一个带有微软Word文档图标的文件。该文件实际上是一个应用程序包，其中包含可执行代码。（参见图1）。一旦用户双击据称的Word文档，特洛伊木马程序就会执行，然后启动Word来显示一个诱饵文档。

该恶意软件使用诱饵文件，以帮助掩盖恶意软件的执行。这种技术是基于Windows恶意软件的一种普通方法，但很少在MacOS使用。为了达到这层混淆，恶意软件作者不得不欺骗操作系统相信文件夹是一个应用程序包而忽略扫描这个docx扩展文件。通常，MacOS的恶意软件会模仿合法应用的安装程序如Adobe Flash，这就是如何将OceanLotus的旧版本打包。

Figure 1

一旦应用程序包被加载，其就会打开包内Resources文件夹中一个名为.CFUserEncoding的隐藏文件。这是一个有密码保护的Word文档（见图2）。它还将该文件复制到可执行路径，并在驻留机制设置之后替换了应用程序包。这将导致受害者相信没有什么不妥，因为他们认为他们正在打开一个word文档，然后这个Word文档就打开了。在这种情况下，该Word文件的名称为“Noi dung chi tiet.docx”，这一表达正是越南语中的“Details(细节信息)”之意。

Figure 2

驻留机制

与这个后门的前一版本相比，这种驻留机制基本保持不变。这个版本创建一个 Launch Agent，在受害者主机启动时运行，而早期版本的执行，是当用户登录时。另外，新版本后门会根据运行应用程序之用户的具体UID将自身以不同文件名复制到不同位置。

对于登陆的用户不是超级用户，该后门会采集由 getpwuid()函数返回的MD5哈希值结构，将这个哈希值拆分成 <前 8 位哈希值>-<接下来16 位哈希值>-<最后8位哈希值>.。这些分段的MD5哈希值在前面会附上“0000-“ ，然后作为在~/Library/OpenSSL/ 下的一个目录来保存可执行文件（详见图三）。如果登陆的是超级用户，该可执行文件即会被存储在系统系统级的库目录中：/Library/TimeMachine/bin/mtmfs。

值得一提的是，该可执行文件以及plist位置从表面上看与其它合法应用程序无异。

UID

plist Location

Executable Location

/Library/LaunchDaemons/com.apple.mtmfsd.plist

/Library/TimeMachine/bin/mtmfs

> 0

~/Library/LaunchAgents/com.apple.openssl.plist

~/Library/OpenSSL/0000-<segmented MD5 hash>/servicessl

Figure 3

一旦这个恶意软件设置成驻留机制，它就会从可执行路径下删除源应用程序包，只留下诱饵文件，然后从新的路径下将自身作为一个服务加载。

去除命令行工具

关于这个后门，我们首先注意到它缺少可疑的字符串，这些字符串通常会表明恶意软件在受害者主机的目的。大多数MacOS的恶意软件，会有些地方用system()或exec()函数来运行其他脚本。在这种情况下，这些没有明显存在调用这些函数，也没有命令行工具字符串，可以轻松地传达应用程序的恶意意图。这说明相比其他攻击者通常只会复制和粘贴来自网络的脚本，这个后门的作者对macOS 平台会有更加深层次的了解。

这种字符串的缺失加大逆向分析技术的难度，会让该恶意软件看起来不那么可疑，尤其是对于基础的静态分析。

字符串解码

由于在明文上几乎没有明显的可疑之处，于是我们转向考虑作者使用编码或者混淆字符串的可能性。

这个后门的字符串解码方式是从前一版本升级来的，其中字符串是以“Variable”作为键进行XOR编码。字符串解码方式现在由bit位移和XOR操作组成，“Variable”键取决于所编码字符串的长度。如果变量XOR的键计算结果是0，则使用“XOR”默认的键0x1B。图4显示了解码函数的Python实现。

Figure 4

在解码字符串（参见图5）之后，我们可以观察到恶意软件如何建立永久机制，调查受害者的计算机，并将这些信息发回服务器。在这一点上，这个恶意软件包含后门所实现的功能仍然不明显。

Figure 5

自定义的二进制协议和加密数据包

负责此恶意软件的攻击者似乎花费了大量的精力来开发自己的自定义通信协议。他们并不是简单地使用现成的Web服务器来实现他们的命令和控制服务器，这和常规的手法不同。相反，他们创建了自己的命令和控制机制。

后门使用TCP端口443上的自定义二进制协议，这是一个众所周知的端口，由于它在HTTPS连接中的使用，它不太可能被传统防火墙阻止。如图六所示的数据包利用bit位移（见图七）与XOR配合0x1B键共同进行编码。在执行XOR运算之前，位总是向左移动3次。这是从以前的版本的包只有XOR配合0x1B键编码的改进。