APT组织Andariel最新攻击事件

      本起事件与此前的韩国Activex 0day 的攻击方一致，均为朝鲜APT组织Lazarus属下的Andariel团伙。

此次投放的均为 恶意HWP文档，并且文件名均与金融相关

cf09201f02f2edb9c555942a2d6b01d4

국제금융체제 실무그룹 회의결과.hwp

国际金融系统工作组会议结果

69ad5bd4b881d6d1fdb7b19939903e0b

금융안정 컨퍼런스 개최결과.hwp

财务稳定会议结果

G20 相关

最后通过C2回连的DLL文件中有一个很明显的特征

*dJU!*JE&!M@UNQ@   这个特征出现在木马家族Phandoor中

除此之外，还有一个疑似该组织的最新攻击样本，今天沉迷写代码，各位看客先行分析吧。

87e252e3da6c02bf531a6cfb788f122a

미국의 대테러전쟁.hwp 

美国反恐战争

C2 

hxxps://tpddata.com/skins/skin-8.thm

hxxps://tpddata.com/skins/skin-6.thm

DLL

skin-8.thm (x86) : eb6275a24d047e3be05c2b4e5f50703d

skin-6.thm (x64) : a6d1424e1c33ac7a95eb5b92b923c511

DLL C2

hxxps://www.anlway.com/include/arc.search.class.php

hxxps://www.apshenyihl.com/include/arc.speclist.class.php

hxxps://www.ap8898.com/include/arc.search.class.php