Команда Zscaler ThreatLabz обнаружила новые варианты ToneShell и StarProxy, связанные с группой шпионажа Mustang Panda, спонсируемой Китаем. Эта группа традиционно нацелена на правительственные организации, военные структуры, группы меньшинств и неправительственные организации в Восточной Азии.
Описание
ToneShell, бэкдор, используемый Mustang Panda, был обновлен, внесены изменения в протокол передачи команд и управления (C2) FakeTLS, а также в методы создания и хранения идентификаторов клиентов. Также был обнаружен новый инструмент латерального перемещения, названный StarProxy, который использует протокол FakeTLS для проксирования трафика.
Mustang Panda продолжает активные атаки в Мьянме и использует технику боковой загрузки DLL, для чего инструменты упаковываются в RAR-архивы вместе с легитимными файлами.
ToneShell - один из часто используемых инструментов Mustang Panda. Три новых варианта ToneShell были обнаружены, где инструмент загружается боковой загрузкой DLL. Генераторы случайных чисел используются для генерации GUID и ключей шифрования данных между машиной жертвы и сервером C2.
Каждый вариант ToneShell генерирует GUID или значение, полученное из GUID, и записывает его в файл, используя различные методы. Созданный GUID используется для идентификации зараженной машины.
Индикаторы компрометации
