ESET Research обнаруживает вредоносное ПО Hodur в кампании кибершпионажа, использующей вторжение в Украину и другие европейские проблемы

БРАТИСЛАВА, МОНРЕАЛЬ —23 МАРТА 2022 ГОДА — ESET Research обнаружила все еще продолжающуюся кампанию кибершпионажа с использованием ранее недокументированного варианта Korplug группой Mustang Panda APT. Текущая кампания использует войну в Украине и другие европейские новости. Среди известных жертв-исследовательские организации, интернет-провайдеры и европейские дипломатические миссии, расположенные в основном в Восточной и Юго-Восточной Азии. Исследователи ESET назвали этот новый вариант Korplug Hodur из-за его сходства с вариантом THOR, задокументированным в 2020 году. В скандинавской мифологии Hodur-слепой сводный брат Тора.

-Эта кампания кибершпионажа датируется как минимум августом 2021 года и продолжается по состоянию на март 2022 года.

-Mustang Panda, группа APT, стоящая за этой кампанией, нацелена в основном на правительства и НПО. Большинство жертв находятся в Восточной и Юго-Восточной Азии, но некоторые из них находятся в Европе (Греция, Кипр, Россия) и Африке (Южная Африка, Южный Судан).

-Среди известных жертв-исследовательские организации, интернет-провайдеры и европейские дипломатические миссии.

-Цепочка компромиссов включает в себя документы-приманки, которые часто обновляются и касаются событий в Европе и войны в Украине.

-Кампания использует пользовательский загрузчик для выполнения Hodur, нового варианта Korplug.

-На каждом этапе процесса развертывания используются методы антианализа и обфускации потока управления, что отличает его от других кампаний.

Жертвы этой кампании, вероятно, заманиваются фишинговыми документами, злоупотребляющими последними событиями в Европе, такими как вторжение России в Украину. По данным УВКБ ООН, это привело к тому, что более трех миллионов жителей бежали от войны в соседние страны, что привело к беспрецедентному кризису на границах Украины. Одно из имен файлов, связанных с этой кампанией, - “Ситуация на границах ЕС с Ukraine.exe.”

Другие фишинговые приманки упоминают обновленные ограничения на поездки COVID-19, утвержденную региональную карту помощи для Греции и Постановление Европейского парламента и Совета. Последняя приманка-реальный документ, доступный на веб-сайте Европейского совета. Это показывает, что группа APT, стоящая за этой кампанией, следит за текущими делами и способна успешно и быстро реагировать на них.

“Основываясь на сходстве кода и многих общих чертах в тактике, методах и процедурах, исследователи ESET с высокой уверенностью приписывают эту кампанию Mustang Panda, также известной как TA416, RedDelta или PKPLUG. Это группа кибершпионажа, в основном нацеленная на правительственные учреждения и НПО”, - объясняет исследователь вредоносных программ ESET Александр Кот - Сир, который обнаружил Hodur. Жертвы Mustang Panda в основном, но не исключительно, расположены в Восточной и Юго-Восточной Азии с акцентом на Монголию. Группа также известна своей кампанией, нацеленной на Ватикан в 2020 году.

Хотя исследователи ESET не смогли идентифицировать вертикали всех жертв, эта кампания, похоже, преследует те же цели, что и другие кампании Mustang Panda. Следуя типичной виктимологии APT, большинство жертв находятся в Восточной и Юго-Восточной Азии, а также в некоторых европейских и африканских странах. Согласно телеметрии ESET, подавляющее большинство целей расположены в Монголии и Вьетнаме, за которыми следует Мьянма, и лишь немногие в других пострадавших странах, а именно в Греции, Кипре, России, Южном Судане и Южной Африке. Выявленные вертикали включают дипломатические миссии, исследовательские организации и интернет-провайдеров.

Кампании Mustang Panda часто используют пользовательские загрузчики для общих вредоносных программ, включая Cobalt Strike, Poison Ivy и Korplug (также известный как PlugX). Группа также, как известно, создает свои собственные варианты Korplug. “По сравнению с другими кампаниями, использующими Korplug, на каждом этапе процесса развертывания используются методы антианализа и обфускации потока управления, чтобы сделать расследование более трудным для американских исследователей вредоносных программ”,-заключает Кот Сир.

Для подробного технического анализа прочитайте блог "Hodur Mustang Panda: старые трюки, новый Korplugвариант" о WeLiveSecurity и follow ESET Research в Twitter для получения последних новостей от ESET Research.



Большинство жертв, пострадавших от Mustang Panda в этой кампании, находятся в Восточной и Юго-Восточной Азии



Один из документов приманки, используемых в этой кампании: реальный документ с веб-сайта Европейского Совета

Материал подготовлен -  ESET NOD32