Mustang Panda nutzt PlugX-RAT: Angriff über mehrstufige LNK- und PowerShell-Kette

Technischer Hintergrund

Da die ausführbare Datei eine gültige Signatur des Herstellers trägt, löst sie allein deutlich weniger Sicherheitswarnungen aus. Avk.dll fungierte als Zwischenlader und nutzte eine Runtime-Hashing-Technik, um Windows-APIs aufzulösen, ohne diese durch statische Analyse preiszugeben.

Sie las die verschlüsselte Nutzlast innerhalb von AVKTray.dat, erteilte ihr im Speicher Ausführungsrechte und löste die Ausführung über einen Windows-Threadpool-Callback aus, eine Methode, die den wahren Ursprung der Ausführung für Sicherheitsüberwachungstools verbirgt.

Die Last innerhalb der Datei AVKTray.dat durchlief mehrere Entschlüsselungsschichten, darunter XOR und anschließend RC4-Entschlüsselung mit dem Schlüssel VOphJo, bevor sie manuell in den Arbeitsspeicher geladen wurde, ohne als normales ausführbares Programm die Festplatte zu berühren.

Technik und Auswirkungen

Nach dem Laden installierte es sich unter %PUBLIC%\GData und erstellte einen Persistenz-Eintrag im Windows-Registry-Schlüssel Run, um sicherzustellen, dass es bei jedem Benutzeranmeldung neu gestartet wird.

Kommunikation mit dem Command-and-Control-Server und Befehlsmöglichkeiten: Nach der Installation verband sich die Last mit ihrem Command-and-Control-Server bei fruitbrat[.]com über Port 443 unter Verwendung von HTTPS, um sich in normalen Webverkehr zu tarnen.

Die angeforderten Daten wurden so gestaltet, dass sie Aktivität des Microsoft Edge-Browsers imitieren, was die Erkennung auf Netzwerkebene zusätzlich erschwert. Zudem wurde eine eindeutige Client-ID im Registry gespeichert, um den infizierten Rechner auf dem entfernten Server zu identifizieren. Die Befehlsmöglichkeiten dieses Implantats waren umfangreich.

Es kann Dateien vom C2 herunterladen

Es kann Dateien vom C2 herunterladen und ausführen, Prozesse starten und deren Ausgabe erfassen, Dateiteile pro Sitzung hoch- und herunterladen, Dateien auflisten und löschen sowie Diagnosewerkzeuge wie iediagcmd.exe beenden, um zu verhindern, dass Administratoren ungewöhnliche Aktivitäten bemerken.

Plugin-Loader-Stubs im Code ermöglichten es den Angreifern zudem, zusätzliche Fähigkeiten auf infizierte Systeme jederzeit nach Bedarf zu übertragen.

Sicherheitsanalysten empfehlen, nach dem gemeinsamen Auftreten von Avk.exe, Avk.dll und AVKTray.dat in Verzeichnissen wie %PUBLIC%\GData oder %LOCALAPPDATA%\pZhozR zu suchen sowie nach Einträgen im Run-Schlüssel, die auf Avk.exe mit nachfolgenden numerischen Argumenten verweisen.

BlueCyber betont, dass die Überwachung der

BlueCyber betont, dass die Überwachung der gesamten Verhaltenskette anstelle der alleinigen Abhängigkeit von einzelnen Indikatoren der Kompromittierung (IoCs) die zuverlässigste langfristige Verteidigung gegen diese und zukünftige PlugX-Varianten darstellt.

Indikatoren der Kompromittierung (IoCs): - SHA-256: Indikator: 79af67ed343bc45b6a19e4836ebb83f1130243ff98f48465f9a7a807ba4bfa91; Beschreibung: iis.jpg (masqueradiertes MSI-Payload). SHA-256: Indikator: 106f46375d8497d353c22c98f72ab15a9bb87beba4585d5a492fd11edc288b0b; Beschreibung: Browser_Update.zip (ursprüngliches Dropper-Archiv).

SHA-256: Indikator: 8421e7995778faf1f2a902fb2c51d85ae39481f443b7b3186068d5c33c472d99; Beschreibung: Avk.exe (legitimes G DATA-Binary zur Seiteneinlagerung). SHA-256: Indikator: 4cd81d26289c4d8383a0ffa34397f0b03941554eac04f1b420269b831acc; Beschreibung: Avk.dll (schädlicher Zwischenlader).

Technik und Auswirkungen

SHA-256: Indikator: d4bc21e12360af2f2cb55872a90b62805150d498c452b2b1c6a05a806cbb; Beschreibung: AVKTray.dat (verschlüsselter Payload-Container). SHA-256: Indikator: b52c484a3cc383dd3b4dc79c207946b603a810edf74bff76dca7ad29d4de; Beschreibung: final_payload.bin (manuell geladener PlugX-Implant).

IP-Adresse: Indikator: 45[.]251[.]243[.]210; Beschreibung: Server zur Payload-Lieferung (iis.jpg wird über HTTP bereitgestellt). Domain: Indikator: fruitbrat[.]com:443; Beschreibung: Primärer C2-Server (WinHTTP HTTPS-Kommunikation). Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z.

B. [.] ) dargestellt, um eine unbeabsichtigte Auflösung oder das Erstellen von Hyperlinks zu verhindern. Defang nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM. Tushar ist ein Senior-Experte für Cybersicherheit und Berichterstattung über Sicherheitsvorfälle.

Sicherheitslage und Risiko

Er spezialisiert sich auf die Berichterstattung über Nachrichten und Trends im Bereich Cybersicherheit sowie auf neu auftretende Bedrohungen, Datenpannen und Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen ein.

Anthropic erweitert die Claude Mythos Preview von Project Glasswing auf 150 neue Organisationen. Microsoft MSRC soll eine Schwachstelle der Art „Dependency Confusion" abgelehnt haben, wie ein Forscher behauptet. Die Schwachstelle in Claude Code für GitHub Actions ermöglicht Angreifern die Kompromittierung beliebiger Repositories.