Los investigadores han expuesto una campaña de Mustang Panda que se está aprovechando del conflicto entre Rusia y Ucrania para propagar nuevo malware.
El 23 de marzo, investigadores de ESET dijeron que Mustang Panda, un grupo de ciberespionaje chino también rastreado como TA416, RedDelta y Bronze President, ha estado difundiendo una nueva variante del troyano de acceso remoto (RAT) Korplug/PlugX.
Korplug es una RAT utilizada anteriormente en ataques contra los militares de Afganistán y Tayikistán, objetivos en toda Asia y organizaciones de alto valor en Rusia. Los investigadores dicen que los actores de amenazas chinos han usado variantes del troyano desde al menos 2012.
La nueva variante, sin embargo, ha permanecido bajo el radar hasta ahora.
ESET ha nombrado a la nueva muestra Hodur. La nueva versión tiene algunas similitudes con Thor, una variante del malware detectado por Palo Alto Networks en 2021 implementado durante la debacle de Microsoft Exchange Server.
Hodur se está difundiendo a través de una campaña de phishing que aprovecha temas de interés en Europa, incluida la actual invasión rusa de Ucrania. La ola de ataques aún continúa, pero ha tomado diferentes formas desde agosto de 2021, según los acontecimientos actuales.
Al adaptar sus métodos de phishing para incluir temas de actualidad, conflictos y noticias, Mustang Panda ha logrado infiltrarse con éxito en organizaciones de investigación, proveedores de servicios de Internet (ISP) y sistemas pertenecientes a iniciativas diplomáticas europeas en países como Mongolia, Vietnam, Myanmar, Grecia, Rusia, Sudáfrica y Chipre.
Si bien ESET no está seguro del origen de la campaña, es probable que los ataques de phishing y de abrevadero sean los medios para el acceso inicial. Se han encontrado descargadores personalizados para Hodur en varios documentos señuelo con nombres que incluyen:
- Situación en las fronteras de la UE con Ucrania.exe
- Restricciones de viaje COVID-19 Lista de revisiones de la UE de terceros países.exe
- State_aid__Commission_approves_2022-2027_regional_aid_map_for_Greece.exe
- REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO.exe
Los señuelos también se empaquetaron con extensiones .doc y .PDF.
Si una víctima prevista abre el documento señuelo y ejecuta el paquete, un archivo .DLL malicioso, un archivo Korplug encriptado y un ejecutable vulnerable al secuestro del orden de búsqueda de DLL aterrizan en la máquina de destino.
El archivo .exe carga el .DLL y luego la RAT se descifra y se desempaqueta. La variante Korplug RAT luego establecerá una puerta trasera, se conectará a su servidor de comando y control (C2) y realizará un reconocimiento en el sistema infectado.
En otras noticias de seguridad esta semana, Google eliminó una popular aplicación de Android de Play Store después de que Pradeo advirtiera que la aplicación contenía un troyano capaz de recolectar las credenciales de la cuenta de Facebook.
Cobertura anterior y relacionada
¿Tienes un consejo? Póngase en contacto de forma segura a través de WhatsApp | Señal al +447713 025 499, o más en Keybase: charlie0
