奇安信威胁情报中心红雨滴团队在日常的APT组织跟踪过程中发现，国外推特一用户曝光了一张截图，上面显示了疑似木马控制后台的主机信息界面。
经过排查发现，该推特实际上是评论了一个人的推特：
其中lmhostsvc.net在奇安信威胁情报中心Alpha威胁分析平台上可见，其为一个疑似印度来源的组织Bitter，中文名为蔓灵花。
从曝光的后台界面来看，后台上端显示从左到右为状态，系统，任务，日志，还有登出按钮：
而根据该域名对应的样本(c0679704a43f33f088de6759583b527e)进行分析后发现，其回连C2的格式均如下所示：
其中的相关字段正好可以对应后台的对应字段，下面的submit Task提交任务便暴露了Bitter组织下发木马的途径：
而根据一些情报推测分析，下拉的样本大致如下：
其中的样本分析并不是本文的主要目的，日后红雨滴团队将公布关于该组织的详细报告。
最后，由于该图片已经开始大范围传播，为了及时响应，我们负责任的披露了此次曝光事件。
*部分IP涉及国内受害者，因此采取打码方式隐去。
相关资料
https://ti.qianxin.com/search?type=domain&value=lmhostsvc.net
标签： apt 蔓灵花（BITTER）
版权声明：除非特别标注，否则均为本站原创文章，转载时请以链接形式注明文章出处。
![[AI安全论文] 21.SP21 Survivalism经典离地攻击（Living-Off-The-Land）恶意软件系统分析](https://www.konghaidashi.com/zb_users/cache/thumbs/b5066e882cc131220180607c222b62b4-320-200-1.png)
![[系统安全] 三十七.APT系列(2)远控木马详解与防御及APT攻击中的远控](https://www.konghaidashi.com/zb_users/cache/thumbs/195df601fa52f465fc983ca788a52a9d-320-200-1.jpeg)
还木有评论哦，快来抢沙发吧~