LOTUSLITE и Mustang Panda: подмена DLL против правительственных структур США
В новой вредоносной кампании, приписываемой хакерской группировке Mustang Panda, обнаружен бэкдор LOTUSLITE, нацеленный на правительственные структуры США. Атака опирается на тематически приуроченную к текущим событиям в отношениях между США и Венесуэлой приманку и реализуется через простой, но надёжный набор техник выполнения и командного управления.
Краткий обзор кампании
Атака распространялась через ZIP-архив политической тематики с именем:
«МЫ сейчас решаем, что делать дальше». Venezuela.zip
Архив содержал легитимный исполняемый файл и скрытую библиотеку динамических ссылок (DLL). Исполняемый файл служил загрузчиком для скрытой DLL — основной функциональный модуль, действующий как бэкдор LOTUSLITE. Механизм загрузки реализован через DLL sideloading.
Механизм атаки и поведение вредоносного ПО
- Распространение: ZIP-файл с политической приманкой; цель — заинтересовать сотрудников госструктур.
- Исполнение: легитимный бинарник загружает и запускает вредоносную библиотеку (kugou.dll) через DLL sideloading.
- Сокрытие: наличие вредоносной DLL изначально было скрыто, а затем атрибуты файлов были изменены, что раскрывает её истинную природу.
- Функциональность бэкдора: LOTUSLITE предоставляет минимальный, но достаточный экспорт функций (включая фиктивные функции для маскировки) и в основном служит для установки маяка и поддержания постоянного доступа.
- Командно‑управляющая инфраструктура (C2): связь с управлением осуществляется через WinHTTP API, используя HTTP POST‑запросы к определённым конечным точкам. Настройка HTTP‑сеанса включает длительные таймауты, что помогает сохранять устойчивое соединение и сливаться с легитимным трафиком.
- Укрепление присутствия (persistence): вредоносный модуль переименовывает исходный исполняемый файл в DataTechnology.exe, использует флаг командной строки –DATA для внутренних операций и создаёт запись автозапуска в реестре текущего пользователя (Run‑ключ), чтобы запускаться при входе в систему.
Технические индикаторы и инфраструктура
- Имя архива: «МЫ сейчас решаем, что делать дальше». Venezuela.zip
- Вредоносная DLL: kugou.dll
- Переименованный исполняемый файл: DataTechnology.exe
- Флаг запуска: –DATA
- Коммуникации C2: POST‑запросы через WinHTTP API с длительными таймаутами
- Задействованный IP‑адрес сервера управления: 172.81.60.97 — хостинг/динамический DNS‑провайдер
Атрибуция и оценка
Анализ позволяет с умеренной уверенностью отнести кампанию к Mustang Panda. Доказательства включают совпадающие навыки и поведенческие шаблоны, соответствующие исторической активности группы. При этом сам бэкдор LOTUSLITE не демонстрирует сложных техник обхода детектирования: он опирается на зарекомендовавшиеся методы выполнения и C2, делая ставку на эксплуатационную надёжность и простоту внедрения.
Значение для безопасности и рекомендации
Кампания подчёркивает эффективность сочетания современных геополитических приманок с простыми, но надёжными тактиками вредоносного ПО. Рекомендуемые меры по снижению риска:
- Блокировать и мониторить коммуникации с IP 172.81.60.97 и подозрительными доменами, связанными с dynamic DNS‑услугами.
- Исключать/блокировать распространение ZIP‑/email‑вложений политической направленности для целевых групп (ограничить доверенные источники).
- Искать на конечных точках файлы и записи реестра: kugou.dll, DataTechnology.exe и наличие Run‑ключей, запускающих DataTechnology.exe.
- Проверять поведение процессов, использующих WinHTTP API, и аномальные POST‑запросы с длительными таймаутами.
- Обновить правила EDR/AV для обнаружения DLL sideloading и необычных сочетаний легитимных бинарников с подозрительными DLL.
- Провести обучение пользователей и администраторов по распознаванию целевых фишинговых кампаний с геополитическим контентом.
Вывод
LOTUSLITE демонстрирует, что злоумышленники продолжают использовать тематические социально‑политические приманки в сочетании с надёжными, хорошо понятными техническими приёмами — DLL sideloading, переименование бинарников и устойчивую C2‑инфраструктуру — чтобы получить доступ к целям в государственных структурах. Несмотря на отсутствие продвинутых эвфемизмов обхода, такая кампания остаётся опасной за счёт целевого распространения и операционной надёжности.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
