1.概述 自2023年8月至今，海莲花组织多次利用KSRAT远控木马对我国发起攻击。KSRAT通过HTTP协议与C&C服务器进行通信，每个样本都使用了不同的URL。其心跳包采用XOR算法进行加密，而控制指令包和数据回传包则使用了XOR以及“XOR+AES-128-CBC”组合的加密方法。这种对不同类型的数据采用不同加密方式的策略，使得心跳包的解密方法无法完全应用于其他数据，从而有效延缓了安全人员