Mustang Panda y PlugX: Un Análisis Profundo de Operaciones de Carga a Través de Phishing

Ruslan Mikhalov Jefe de Investigación de Amenazas en SOC Prime

Seguir

Mustang Panda y PlugX: Un Análisis Profundo de Operaciones de Carga a Través de Phishing

Detection stack

AIDR
Alert
ETL
Query

Informe de Amenazas
Flujo de Ataque
Detecciones
Simulaciones

Resumen

El informe describe una intrusión de múltiples etapas atribuida al grupo Mustang Panda con nexos en China. La cadena comienza con un acceso directo de Windows (LNK) armado que lanza un cargador de PowerShell. Ese cargador despliega un archivo ZIP señuelo, extrae un DLL cifrado y, finalmente, despliega el troyano de acceso remoto PlugX utilizando carga reflexiva e inyección de hilo en grupo. El tráfico de comando y control se envía a través de HTTPS a la infraestructura asociada con coastallasercompany.com. El implante también implementa técnicas evasivas como hash de API, paseos por el bloque de parámetros de entorno (PEB) y ofuscación intensa de cadenas para reducir la detección estática.

Investigación

Los analistas reconstruyeron el camino de ejecución de extremo a extremo: activación inicial del LNK, puesta en escena de PowerShell, carga lateral de DLL, descifrado en memoria y ejecución final de PlugX. La herramienta utiliza hash de API similar a DJB2 y hash ROL-13 para resolver importaciones, además de un bloque de configuración cifrado con RC4. Se observó persistencia mediante la modificación de la clave de registro HKCU Run. La investigación extrajo indicadores listos para la detección, incluidos nombres de archivos, hashes y el dominio C2 utilizado para hacer balizas HTTPS.

Mitigación

Bloquear o poner en cuarentena archivos .lnk no confiables y restringir la ejecución de PowerShell, especialmente scripts que leen o escriben en ubicaciones escribibles por el usuario. Monitorear la creación sospechosa de archivos bajo %LocalAppData%, particularmente nombres generados aleatoriamente similares a GUID, y endurecer el comportamiento de orden de búsqueda de DLL para reducir las oportunidades de carga lateral. Aplicar controles DNS/proxy para negar el acceso al dominio C2 identificado y usar inspección de TLS cuando sea adecuado para exponer patrones anómalos de balizamiento HTTPS.

Respuesta

Si se detecta actividad sospechosa, aislar el host, capturar la memoria volátil y preservar la configuración cifrada para un análisis más profundo. Barrer el entorno en busca de los IOCs extraídos, eliminar los artefactos dejados caer y eliminar la entrada HKCU Run maliciosa. Rotar las credenciales en el alcance y buscar indicios de movimiento lateral consistente con las técnicas operativas del operador de PlugX.

"graph TB %% Class definitions classDef technique fill:#ffcc99 classDef artifact fill:#ccffcc classDef process fill:#ccccff classDef registry fill:#ffe599 %% Initial Access initial_zip["Artifact – Archivo ZIP malicioso que contiene .lnk"] class initial_zip artifact lnk_shortcut["Artifact – Acceso directo (.lnk) con ícono oculto"] class lnk_shortcut artifact tech_lnk_smack["Technique – T1027.012 Encubrimiento de Icono LNK Description: Usar ícono de LNK para esconder carga útil maliciosa"] class tech_lnk_smack technique tech_user_exec["Technique – T1204.002 Ejecución de Usuario: Archivo Malicioso Description: La víctima abre archivo malicioso"] class tech_user_exec technique %% Execution psh_stage["Process – Etapa de PowerShell ejecutada por .lnk"] class psh_stage process tech_psh["Technique – T1059.001 PowerShell Description: Intérprete de comandos y scripting"] class tech_psh technique tech_archive_custom["Technique – T1560.003 Archivado vía Método Personalizado Description: Lee ZIP como bytes crudos"] class tech_archive_custom technique extracted_exe["Artifact – Ejecutable legítimou2011aparente extraído"] class extracted_exe artifact malicious_dll["Artifact – Eraser.dll (malicioso)"] class malicious_dll artifact encrypted_dat["Artifact – Carga útil .dat cifrada"] class encrypted_dat artifact %% Persistence run_key["Registry – HKCUSoftwareMicrosoftWindowsCurrentVersionRun entrada"] class run_key registry tech_run_key["Technique – T1037.001 Script de Inicio de Sesión (Scripts de Inicialización) Description: Persistencia mediante clave de ejecución"] class tech_run_key technique shortcut_mod["Technique – T1547.009 Modificación de Accesos Directos Description: Modifica accesos directos para autoarranque"] class shortcut_mod technique active_setup["Technique – T1547.014 Configuración Activa Description: Entrada de registro para autoarranque mediante Configuración Activa"] class active_setup technique psh_profile["Technique – T1546.013 Perfil de PowerShell Description: Engancha perfil de PowerShell para ejecución"] class psh_profile technique %% Defense Evasion tech_compress["Technique – T1027.015 Compresión Description: Comprime carga útil dentro de ZIP"] class tech_compress technique tech_dynamic_api["Technique – T1027.007 Resolución Dinámica de API Description: Resuelve APIs en tiempo de ejecución usando hash"] class tech_dynamic_api technique tech_embedded["Technique – T1027.009 Cargas Útiles Incrustadas Description: Incrusta cargas útiles cifradas"] class tech_embedded technique tech_deobfuscate["Technique – T1140 Desofuscar/Decodificar Archivos o Información Description: Descifrado RC4/XOR en tiempo de ejecución"] class tech_deobfuscate technique tech_masquerade["Technique – T1036.008 Suplantación: Suplantación de Tipo de Archivo Description: Superposición de PDF señuelo"] class tech_masquerade technique %% Privilege Escalation / Execution tech_reflective["Technique – T1620 Carga de Código Reflexiva Description: Carga DLL en memoria sin tocar disco"] class tech_reflective technique tech_injection["Technique – T1055.001 Inyección de Procesos: Inyección de DLL Description: Inyecta DLL mediante paseo por PEB y callbacks de hilo en grupo"] class tech_injection technique %% Command and Control c2_https["Process – Comunicación C2 HTTPS (puerto 443)"] class c2_https process tech_nonstd_port["Technique – T1571 Puerto No Estándar Description: Usa puerto común para mezclar tráfico"] class tech_nonstd_port technique tech_dead_drop["Technique – T1102.001 Resolución de Caja Muerta Description: Recupera dirección del servidor desde un servicio web"] class tech_dead_drop technique tech_proxy["Technique – T1090.002 Proxy: Proxy Externo Description: Rutea tráfico a través de proxy externo"] class tech_proxy technique %% Connections initial_zip –>|contiene| lnk_shortcut lnk_shortcut –>|usa| tech_lnk_smack lnk_shortcut –>|desencadena| tech_user_exec tech_user_exec –>|lleva a| psh_stage psh_stage –>|ejecuta| tech_psh psh_stage –>|lee| tech_archive_custom tech_archive_custom –>|extrae| extracted_exe tech_archive_custom –>|extrae| malicious_dll tech_archive_custom –>|extrae| encrypted_dat psh_stage –>|escribe| run_key run_key –>|implementa| tech_run_key psh_stage –>|crea| shortcut_mod psh_stage –>|crea| active_setup psh_stage –>|engancha| psh_profile psh_stage –>|aplica| tech_compress psh_stage –>|aplica| tech_dynamic_api psh_stage –>|aplica| tech_embedded psh_stage –>|aplica| tech_deobfuscate psh_stage –>|aplica| tech_masquerade malicious_dll –>|actúa como| tech_reflective malicious_dll –>|realiza| tech_injection tech_injection –>|habilita| c2_https c2_https –>|usa| tech_nonstd_port c2_https –>|usa| tech_dead_drop c2_https –>|puede enrutar mediante| tech_proxy %% Class assignments class initial_zip,lnk_shortcut,extracted_exe,malicious_dll,encrypted_dat artifact class psh_stage,c2_https process class run_key registry class tech_lnk_smack,tech_user_exec,tech_psh,tech_archive_custom,tech_run_key,shortcut_mod,active_setup,psh_profile,tech_compress,tech_dynamic_api,tech_embedded,tech_deobfuscate,tech_masquerade,tech_reflective,tech_injection,tech_nonstd_port,tech_dead_drop,tech_proxy technique "

Flujo de Ataque

Narrativa y Comandos de Ataque:
Un atacante ha obtenido una posición en una estación de trabajo comprometida y desea escenificar cargas útiles maliciosas mientras permanece invisible para el usuario. Inician PowerShell en modo oculto (-w hidden) para evitar ventanas emergentes de la interfaz de usuario. Dentro de la misma sesión de PowerShell usan la utilidad incorporada tar (disponible en versiones modernas de Windows) para extraer un archivo señuelo que contiene las cargas útiles de la siguiente etapa directamente en %LocalAppData%, una ubicación escribible que a menudo pasa desapercibida por las defensas.

Pasos:
1. Crear un pequeño archivo tar (payloads.tar) que contenga un archivo ficticio benigno (simulando la carga útil maliciosa).
2. Almacenar el archivo en una ubicación temporal (C:Temp).
3. Ejecutar PowerShell en ventana oculta que ejecuta el comando de tar extracción dirigido al %LocalAppData%.

Script de Prueba de Regresión:

# ---------------------------------------------------------
# Paso 1 – Preparar un archivo tar de ejemplo (simula cargas útiles)
# ---------------------------------------------------------
$tempDir   = "C:Temp"
$archive   = "$tempDirpayloads.tar"
$payload   = "$tempDirdummy.txt"
$destDir   = "$Env:LocalAppDataStagedPayloads"

# Asegurar que la carpeta temporal existe
New-Item -ItemType Directory -Path $tempDir -Force | Out-Null

# Crear un archivo ficticio para archivar
"Este es un archivo de carga útil ficticio." | Set-Content -Path $payload -Encoding UTF8

# Crear el archivo tar (requiere tar de Windows)
tar -cf $archive -C $tempDir dummy.txt

# ---------------------------------------------------------
# Paso 2 – Ejecutar PowerShell oculto que extrae el archivo
# ---------------------------------------------------------
$extractCmd = "tar -xvf `"$archive`" -C `"$Env:LocalAppData`""
$psArgs     = "-NoProfile -WindowStyle Hidden -Command `$extractCmd"

Start-Process -FilePath "powershell.exe" -ArgumentList $psArgs -WindowStyle Hidden

# ---------------------------------------------------------
# Paso 3 – Opcional: Verificar extracción (para validación manual)
# ---------------------------------------------------------
Write-Host "Extracción completa. Archivos deberían existir ahora en $Env:LocalAppData"

Comandos de Limpieza:

# Eliminar archivos temporales y cargas útiles escenificadas
Remove-Item -Path "C:Temppayloads.tar" -Force -ErrorAction SilentlyContinue
Remove-Item -Path "C:Tempdummy.txt"   -Force -ErrorAction SilentlyContinue
Remove-Item -Path "$Env:LocalAppDatadummy.txt" -Force -ErrorAction SilentlyContinue
# Opcionalmente eliminar la carpeta de escena completa si fue creada
Remove-Item -Path "$Env:LocalAppDataStagedPayloads" -Recurse -Force -ErrorAction SilentlyContinue

Únete a la plataforma Detection as Code de SOC Prime para mejorar la visibilidad de las amenazas más relevantes para tu negocio. Para ayudarte a comenzar y obtener valor inmediato, programa una reunión ahora con los expertos de SOC Prime.

Únete gratis