一，背景图 “海荷花”（别名APT-TOCS，APT32，OceanLotus）被觉得是来源于印度支那半岛的一个國家的APT进攻机构。自2010年刚开始运行至今，它始终在进攻我国的比较敏感总体目标。它近些年始终对于我国。内地上最活跃性的APT进攻机构之三。

Antian和别的安全性生产商先前现已公布了许多相关海莲的数据分析报告。汇报的內容关键是在Pc层面。进攻方式关键应用场景长矛和互联网钓鱼攻击，中移动进攻非常少见。只是，时间推移中移动互联网发展，大家的手机上逐步形成双用手机上。除此之外客户的私人信息外，许多人通常还具有社交媒体特性。与此同时，能否绕开智能机的无线通讯。內部安全性监管机器设备，因而对中移动端的进攻已变成整个进攻链的关键构成。下边，Antian Mobile Security将剖析和表述在我国产生的移动智能终端进攻恶性事件。

二，深入分析

2-1典型性样版基本资料 手机应用程序掩藏一切正常手机应用程序，运作后隐藏图标，在后台管理公布故意子程序包并接受远程控制命令，盗取客户的短消息，手机联系人，通话纪录，所在位置，电脑浏览器纪录和别的个人信息，私底下免费下载apk，相片和音频。并将用户隐私上传入网络服务器，导致用户隐私泄漏。 三，试品剖析 手机应用程序起动后，将开启LicenseService服务项目：该服务项目将开启f进程来申请注册和释放出来特工子包：

注册网站：.com://ckoen.dmkatti.Com

动态性载入特工子包： 子包剖析： 主包体现了Com.android.preferences.AndroidR类的Execute方式：

最先建立一个套接字联接：

套接字详细地址：mtk.baimind.Com 利用与中国移动电话创建通讯，上传操纵指令并发送许多个人信息，如短消息，手机联系人，通讯记录，所在位置和电脑浏览器纪录。

 除此之外，特工子包还创建了htpp通讯，用以发送大中型文档，如音频，截屏，文本文档，相片，视頻。Https详细地址：htpp://jang.goongnam.Com/resource/request.Python，现阶段处在非活动状态，C5归属于海莲机构财产。

表3-1 Cc的部位和作用 如图所示：最先，签字主题风格包括HackingTeam，Christian Pozz（网络黑客精英团队管理人员的姓名）;次之，编码中的申请注册作用可视作商业间谍手机软件的市场销售;最终，依据过世的Hacking依据Team的泄漏信息内容，Hai Lotus隶属的國家也在其客户名单上。

第三，扩张剖析 依据申请注册Cc的同源性，我们寻找下列样版：

表4-1 Cc查找的同源样版 与我们剖析的试品不一样，所述试品具有显著的作用改善，并增加了加权作用。以46AE1CB1596E538220CA99B29816304F为例，财产文件目录中名叫dataOff.sbt的文档被破译，破译后的文档应由被消除。配置文件给出如图所示：

能否看得出，编码泄漏后，HackingTeam机构的ceo表达，“泄漏的编码仅仅一部分”是应用场景直接证据，这也体现出互联网军火贩子现已将APT进攻的门坎减少到在必须水平上，促使黑客攻击存有大量的系统性风险。 直接，我们也特别注意到该系列产品恶意代码已利用中国第三方软件销售市场和文件共享网址出示。

表4-2派发连接实例 五，小结 海莲机构始终在飞速发展和更改其进攻技术性和武器库，以实现绕开防护软件防御力的总体目标。除此之外不断创新武器库外，该机构还非常了解我国的状况，包含现行政策和应用习惯性。这不但使有关工作人员觉得疑惑，提升了进攻的通过率，并且给总体目标受害人人群产生了与日俱增的损害。因而，而言本人来讲，必须合理地提升网络信息安全观念，而并不是被网络钓鱼信息内容迷惑。而言安全性生产商，必须加重了解，再次进行有目的性的抵抗，提升安全防范工作能力。

移动安全接送。

附录 - （IOC） 5079CB166DF41233A1017D5E0150C17A F29DFFD9817F7FDA040C9608C14351D3 0E7C2ADDA3BC65242A365EF72B91F3A8 C630AB7B51F0C0FA38A4A0F45C793E24 CE5BAE8714DDFCA9EB3BB24EE60F042D BF1CA2DAB5DF0546AACC02ABF40C2F19 D1EB52EF6C2445C848157BEABA54044F 46AE1CB1596E538220CA99B29816304F 60BFD62721B4F3813C2D20B59642F022 87c5495b048878ec903e6250600ec308 770a7f9446f62dd23b87b59b67624887 DABF05376 * EF5C1386EA8CECF3ACD5B 87C5495B048878EC903E6250600EC308 F29DFFD9817F7FDA040C9608C14351D3 C83F5589DFD