В новой вредоносной кампании киберпреступники использовали уязвимость в Microsoft Office (CVE-2017-11882) с целью фишинговых атак. Для заражения пользователей применялись файлы с двойным расширением и самораспаковывающиеся архивы.
Жертвы OceanLotus получали фишинговые письма, замаскированные под сообщения СМИ о текущих политических событиях. В письмах использовались интригующие имена вложений, связанные с актуальной новостной повесткой.
Открыв вредоносное вложение в виде документа с поддержкой макросов или запустив самораспаковывающийся SFX-архив, замаскированный под обычное изображение, пользователь инициировал установку бэкдора. Получив доступ к системной информации, бэкдор отправлял ее на управляющий C&C-сервер.
Эксперты ESET полагают, что группировка продолжит совершенствовать свои методы, уменьшая шансы обнаружения продуктами безопасности.