Un notorio actor de amenazas persistentes avanzadas conocido como panda mustang<\/strong> se ha relacionado con una serie de ataques de phishing dirigidos a sectores gubernamentales, educativos y de investigaci\u00f3n en todo el mundo.<\/p>\n Los objetivos principales de las intrusiones de mayo a octubre de 2022 incluyeron condados en la regi\u00f3n de Asia Pac\u00edfico como Myanmar, Australia, Filipinas, Jap\u00f3n y Taiw\u00e1n, la firma de ciberseguridad Trend Micro dijo<\/a> en un informe del viernes. <\/p>\n Mustang Panda, tambi\u00e9n llamado Bronze President, Earth Preta, HoneyMyte y Red Lich, es un actor de espionaje con sede en China que se cree que est\u00e1 activo desde al menos julio de 2018. El grupo es conocido por su uso de malware como China Chopper y PlugX para recopilar datos de entornos comprometidos.<\/p>\n Las actividades del grupo registradas por ESET, Google, Proofpoint, Cisco Talos y Secureworks este a\u00f1o han revelado el patr\u00f3n del actor de amenazas de usar PlugX (y su variante llamada Hodur) para infectar una amplia gama de entidades en Asia, Europa y Medio Oriente. , y las Am\u00e9ricas.<\/p>\n Los \u00faltimos hallazgos de Trend Micro muestran que Mustang Panda contin\u00faa evolucionando sus t\u00e1cticas en una estrategia para evadir la detecci\u00f3n y adoptar rutinas de infecci\u00f3n que conducen al despliegue de familias de malware a medida como TONEINS, TONASHELL y PUBLOAD.<\/p>\n “Earth Preta abus\u00f3 de cuentas falsas de Google para distribuir el malware a trav\u00e9s de correos electr\u00f3nicos de phishing, inicialmente almacenados en un archivo (como RAR\/ZIP\/JAR) y distribuidos a trav\u00e9s de enlaces de Google Drive”, los investigadores Nick Dai, Vickie Su y Sunny Lu. dijo.<\/p>\n El acceso inicial se facilita a trav\u00e9s de documentos se\u00f1uelo que cubren temas geopol\u00edticos controvertidos para atraer a las organizaciones seleccionadas para que descarguen y activen el malware. <\/p>\n En algunos casos, los mensajes de phishing se enviaron desde cuentas de correo electr\u00f3nico previamente comprometidas pertenecientes a entidades espec\u00edficas, lo que indica los esfuerzos realizados por el actor de Mustang Panda para aumentar la probabilidad de \u00e9xito de sus campa\u00f1as.<\/p>\n Los archivos de almacenamiento, cuando se abren, est\u00e1n dise\u00f1ados para mostrar un documento de se\u00f1uelo a la v\u00edctima, mientras cargan sigilosamente el malware en segundo plano a trav\u00e9s de un m\u00e9todo denominado Carga lateral de DLL<\/a>.<\/p>\n Las cadenas de ataque finalmente conducen a la entrega de tres familias de malware: PUBLOAD, TONEINS y TONASHELL, que son capaces de descargar cargas \u00fatiles de la siguiente etapa y pasar desapercibidas.<\/p>\n TONASHELL, la puerta trasera principal utilizada en los ataques, se instala a trav\u00e9s de TONEINS y es un cargador de shellcode, con una versi\u00f3n temprana del implante detectada en septiembre de 2021, lo que sugiere esfuerzos continuos por parte del actor de amenazas para actualizar su arsenal.<\/p>\n “Earth Preta es un grupo de espionaje cibern\u00e9tico conocido por desarrollar sus propios cargadores en combinaci\u00f3n con herramientas existentes como PlugX y Cobalt Strike para compromisos”, concluyeron los investigadores.<\/p>\n “Una vez que el grupo se ha infiltrado en los sistemas de una v\u00edctima objetivo, los documentos confidenciales robados pueden utilizarse como vectores de entrada para la pr\u00f3xima ola de intrusiones. Esta estrategia ampl\u00eda en gran medida el alcance afectado en la regi\u00f3n involucrada”.<\/p>\n <\/p>\n<\/div>\n![\"panda](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEix16dM1Y7zs1_lTZ2I23T8A-px9_VXmTiXycQ1baVE8luwwzOr78lgThISyJBKLpgEQaDMp65PR8Ml-LQuAPsV5GOKaMDvg1LXbrbQcw-199pVpTNlhUEMmBk-IOi9mnvKY37l4adXLJtgcSfCWF9K5Da_Ul-WvqAa_KT-vOUlnMp7nLhpd_DhGeTy\/s728-e1000\/map.png\" "\\"panda")
<\/div>\n