Mustang Panda использует цепочку для доставки PlugX

В зафиксированном вторжении Mustang Panda конечная полезная нагрузка представляет собой вариант PlugX.

Загрузка и установка компонентов

Цепочка начинается с обманчивого ярлыка Windows, имя которого имитирует PDF-файл. Ярлык LNK использует значок Microsoft Edge и запускается без видимого окна. Он вызывает rundll32.exe/ShellExec_RunDLL, conhost.exe --headless и cmd.exe, чтобы выполнить команду curl. Она загружает CHM-файл с адреса www.360printsol.com/2026/alfadhalah/thumbnail?img=index.png, сохраняет его под именем ntv, а затем запускает hh.exe -decompile для извлечения содержимого.

Извлечённый ярлык 0.lnk и связанные компоненты устанавливаются с помощью встроенных утилит Windows. Для этого не нужны эксплойт или сторонний инструмент распаковки. На следующем этапе применяется подмена DLL: неподписанная вредоносная DLL размещается рядом с легитимным подписанным исполняемым файлом в каталоге %APPDATA%\BaiduNetdisk. В состав компонентов входят ShellFolder.exe, ShellFolderDepend.dll и Shelter.ex.

Закрепление и работа полезной нагрузки

Вредоносное ПО закрепляется в системе через ключ HKCU\Software\Microsoft\Windows\CurrentVersion\Run со значением BaiNetdisk. Оно также может менять ключ HKCU\Software\Classes\ms-settings\shell\open\command; после этого запуск выполняется через fodhelper.exe. Для скрытого выполнения вредоносное ПО способно воссоздавать себя с помощью функции CreateProcessA и флага CREATE_NO_WINDOW.

Shelter.ex расшифровывает и выполняет шеллкод для x86, который работает как загрузчик PE в памяти. Шеллкод разрешает API, включая LoadLibraryA, VirtualAlloc, VirtualProtect, RtlDecompressBuffer и memcpy. Затем он расшифровывает и распаковывает встроенную полезную нагрузку, вручную отображает заголовки и секции PE, разрешает импорты, меняет права доступа к памяти и передаёт управление загруженному модулю.

По данным отчёта, шеллкод генерируется с помощью рандомизированных шаблонов и мусорных инструкций, в результате чего появляются полиморфные варианты. Конфигурация PlugX содержит зашифрованные данные C2, пути для закрепления, имена и описания служб, а также ключ трафика. Выявленный адрес C2: 91.193.17.117:443. Поддерживаемые каналы связи включают TCP/HTTP и DNS-туннелирование с использованием закодированных поддоменов. Трафик сжимается и шифруется, магические байты пакета имеют значение 0x20200208.

Признаки для обнаружения

Для обнаружения могут использоваться следующие признаки:

• запуск curl из процесса conhost.exe с параметром --headless;
• извлечение CHM-файлов с помощью hh.exe;
• подмена подписанных исполняемых файлов с загрузкой DLL из каталогов, доступных для записи пользователем;
• создание значения BaiNetdisk в ключе HKCU\Software\Microsoft\Windows\CurrentVersion\Run;
• DNS- или пакетный трафик, характерный для PlugX.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.