“海莲花”，又名“OceanLotus”，该APT组织是长期针对中国境内，且攻击活动十分活跃的组织。近期发现该组织使用了MSI文件滥用的新手法，将远程控制木马植入MST文件来修改MSI文件安装时的执行流程，在安装期间运行恶意代码。本文将展示该恶意木马的加载执行流程，并分析其加密通信过程。