Çin merkezli siber casusluk grubu Mustang Panda'ya atfedilen yeni saldırılar, tehdit oyuncusunun yeni stratejilere geçtiğini ve ihlal edilen ağlardan yükleri indirmek ve bilgileri çalmak için FDMTP ve PTSocket adlı kötü amaçlı yazılımlara geçtiğini gösteriyor.
Araştırmacılar, bilgisayar korsanlarının, ağdaki çıkarılabilir sürücüler aracılığıyla pubroad kötü amaçlı yazılım Stager'ı teslim etmek için Hiupan solucanının bir varyantını kullandıklarını buldular.
Mustang Panda, (Honeymyte/Broze Başkanı/Dünya Preta/Polaris/Görkemli Boğa olarak da bilinir), çoğunlukla Asya-Pasifik'teki hükümet ve hükümet dışı kuruluşlara karşı siberislik operasyonlara odaklanan Çin devlet destekli bir hacker grubudur, ancak Bölgeler de hedef kapsamı dahilindedir.
Mustang Panda tipik olarak mızrak aktı e-postalarını ilk erişim vektörü olarak kullanıyor, ancak bugün yayınlanan bir raporda, Siber Güvenlik Şirketi Trend Micro'daki araştırmacılar, tehdit oyuncusundan yeni saldırıların, hiupan solucanının bir çeşidi ile enfekte edilmiş çıkarılabilir sürücüler aracılığıyla ağa yayılmış pubroad'ı yaydığını söylüyor. .
Hiupan, tüm dosyalarını gizli bir dizine taşıyarak ve kullanıcıyı yürütmeye kandırmak için sürücüye görünür olan meşru görünen bir dosya ("usbconfig.exe") bırakarak varlığını gizler.
Puboad, saldırılardaki ana kontrol aracıdır. Sistemde DLL yan yükleme yoluyla yürütülür, Windows kayıt defterini değiştirerek kalıcılık oluşturur ve ardından ağı haritalamak için keşife özgü komutlar yürütür.
Puboad dışında, tehdit oyuncusu, ikincil bir kontrol aracı olarak hareket eden FDMTP adında yeni bir kötü amaçlı yazılım kullandı. Araştırmacılar, FDMTP'nin bir DLL'nin veri bölümüne gömülü olduğunu ve DLL-sideloading yoluyla da dağıtılabilir.
Araştırmacılara göre, daha yeni Mustang panda saldırılarındaki veri toplama RAR arşivlerinde ve hedeflerinde .doc, .docx, .xls, .xlsx, .pdf, .ppt ve .pptx dosyalarını belirtilen kesme tarihlerinden.
Tehdit oyuncusu, curl aracını kullanarak bilgileri puboad aracılığıyla söndürür. Bununla birlikte, DMTP üzerinden touchSocket'a dayanan bir uygulanan özel PtSocket dosya aktarım aracında bir alternatif vardır.
Haziran ayında, araştırmacılar Mustang Panda'dan bir tuzak belgesinin yanı sıra bellekte yürütülen Pullbait kötü amaçlı yazılımları geri alan aşağıda indiriciyi sunmak için "hızlı tempolu bir mızrak aktı kampanyası" gözlemlediler.
Ardından, saldırgan alarmı tetiklemekten kaçınmak için dijital olarak imzalanan CBRover adlı ilk aşamalı arka kapıyı getirir ve yürütür.
Mustang panda, .doc, .xls, .pdf, .dwg, .pptx, .docx gibi belge dosyalarını toplayan ve bunları söndüren 'Filesac' gibi diğer araçları tanıtmak için Plugx kullanılarak gözlendi.
Trend Micro, muhtemelen Microsoft OneDrive'ın kötüye kullanılmasını içeren başka bir pesfiltrasyon yöntemi olduğunu, ancak araştırmacılar görev için kullanılan aracı bulamıyor. Tehdit grubu, daha önce Google Drive'ı hükümet ağlarına kötü amaçlı yazılım tanıtmak için kötüye kullandığı görüldü.
Trend Micro araştırmacıları, şirketin Earth Preta olarak izlediği Mustang Panda'nın "özellikle hükümet kuruluşlarını hedefleyen kampanyalarında" kötü amaçlı yazılım dağıtım ve stratejilerinde önemli adımlar attığını söylüyor (örneğin, askeri, polis, yabancı mesele ajansları, refahı, yürütme şubesi ve APAC bölgesinde eğitim).
Tehdit oyuncunun bölgede oldukça aktif olmaya devam ettiğini ve yeni taktiklerin "yüksek hedefli ve zamana duyarlı operasyonlara" odaklandığını gösteriyor.
Mustang Panda'nın en son kampanyalarıyla ilişkili uzlaşma göstergelerinin (IOC'ler) tam bir listesi burada mevcuttur.
Bu 512GB USB-C Başparmak Tahrik Anlaşması ile Masif Taşınabilir Depolama Alın
Bizi Govt, Savunma Orgs Backoorgy için Yeni Tickler kötü amaçlı yazılım
Çin Volt Typhoon Hackers, ISP'leri ihlal etmek için Versa Zero Day'den sömürüldü, MSP'ler
Adam kendi ölümünü taklit etmek için devlet sicilini hacklemek için mahkum edildi
Denetim, FBI'ın depolama medya yönetiminde dikkate değer güvenlik boşlukları bulur
Kaynak: Bleeping Computer