El actor de amenazas con sede en China conocido como panda mustang<\/strong> Se sospecha que se ha dirigido al Ministerio de Defensa y Asuntos Exteriores de Myanmar como parte de campa\u00f1as gemelas dise\u00f1adas para desplegar puertas traseras y troyanos de acceso remoto.<\/p>\n Los hallazgos provienen de CSIRT-CTI, que dijo que las actividades tuvieron lugar en noviembre de 2023 y enero de 2024 despu\u00e9s de que se cargaran artefactos relacionados con los ataques en la plataforma VirusTotal.<\/p>\n “El m\u00e1s destacado de estos TTP es el uso de software leg\u00edtimo, incluido un binario desarrollado por la firma de ingenier\u00eda Bernecker & Rainer (B&R) y un componente del asistente de actualizaci\u00f3n de Windows 10 para descargar bibliotecas de enlaces din\u00e1micos (DLL) maliciosas”, CSIRT-CTI dicho<\/a>.<\/p>\n Mustang Panda, activo desde al menos 2012, tambi\u00e9n es reconocido por la comunidad de ciberseguridad con los nombres BASIN, Bronze President, Camaro Dragon, Earth Preta, HoneyMyte, RedDelta, Red Lich, Stately Taurus y TEMP.Hex.<\/p>\n En los \u00faltimos meses, se ha atribuido al adversario ataques dirigidos a un gobierno an\u00f3nimo del sudeste asi\u00e1tico, as\u00ed como a Filipinas, para ofrecer puertas traseras capaces de recopilar informaci\u00f3n confidencial.<\/p>\n La secuencia de infecci\u00f3n de noviembre de 2023 comienza con un correo electr\u00f3nico de phishing que contiene un archivo adjunto ZIP con una trampa explosiva que contiene un ejecutable leg\u00edtimo (“An\u00e1lisis de la tercera reuni\u00f3n de NDSC.exe”) firmado originalmente por B&R Industrial Automation GmbH y un archivo DLL (“BrMod104″). .dll”).<\/p>\n El ataque aprovecha el hecho de que el binario es susceptible al secuestro del orden de b\u00fasqueda de DLL para cargar lateralmente la DLL maliciosa<\/a> y posteriormente establecer persistencia y contacto con un servidor de comando y control (C2) y recuperar una puerta trasera conocida llamada PUBLOAD, que, a su vez, act\u00faa como un cargador personalizado para colocar el implante PlugX.<\/p>\n “Los actores de amenazas intentan disfrazar la [C2] tr\u00e1fico como tr\u00e1fico de actualizaci\u00f3n de Microsoft agregando los encabezados ‘Host: www.asia.microsoft.com’ y ‘User-Agent: Windows-Update-Agent'”, se\u00f1al\u00f3 CSIRT-CTI, que refleja una campa\u00f1a de mayo de 2023. revelado<\/a> por Lab52.<\/p>\n Por otro lado, la segunda campa\u00f1a observada a principios de este mes emplea una imagen de disco \u00f3ptico (“ASEAN Notes.iso”) que contiene accesos directos a LNK para desencadenar un proceso de varias etapas que utiliza otro cargador personalizado llamado TONESHELL para probablemente implementar PlugX desde un Servidor C2 inaccesible.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/01\/Hackers-vinculados-a-China-atacan-a-los-principales-ministerios-de.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n