DOPLUGS Bagdør Ansat af kinesiske hackere
Mustang Panda, en trusselsaktør med bånd til Kina, har fokuseret sin cyberspionageindsats på flere asiatiske nationer ved at anvende en modificeret version af PlugX (også kendt som Korplug) bagdøren, kaldet DOPLUGS.
Ifølge forskere adskiller denne tilpassede PlugX malware sig fra den typiske variant ved at mangle et komplet bagdørs kommandomodul. I stedet tjener det det eneste formål at downloade det nævnte modul. DOPLUGS retter sig primært mod enheder i Taiwan og Vietnam, med mindre tilfælde i Hong Kong, Indien, Japan, Malaysia, Mongoliet og endda Kina.
Mustang Panda, også identificeret som BASIN, Bronze President, Camaro Dragon, Earth Preta, HoneyMyte, RedDelta, Red Lich, Stately Taurus, TA416 og TEMP.Hex, har brugt PlugX siden mindst 2012, selvom dets aktiviteter først blev afsløret i 2017.
Mustang Panda bruger phishing som indledende angrebsvektor
Trusselsaktørens modus operandi involverer at udføre sofistikerede spear-phishing-kampagner for at levere forskellige tilpassede malware. Siden 2018 har Mustang Panda implementeret sine egne skræddersyede versioner af PlugX, såsom RedDelta, Thor, Hodur og DOPLUGS (formidles gennem SmugX-kampagnen).
Kompromiskæder involverer veludformede spear-phishing-beskeder, der leverer en indledende nyttelast forklædt som et lokkedokument. Denne nyttelast pakker i hemmelighed en legitim, signeret eksekverbar ud, der er sårbar over for DLL-sideindlæsning. Efterfølgende sideindlæses et dynamisk linkbibliotek (DLL), som dekrypterer og udfører PlugX.
PlugX-malwaren henter derefter Poison Ivy remote access-trojaneren (RAT) eller Cobalt Strike Beacon for at etablere en forbindelse med en server styret af Mustang Panda.
I december 2023 opdagede Lab52 en Mustang Panda-kampagne rettet mod taiwanske politiske, diplomatiske og statslige enheder med DOPLUGS. Denne variant har især en ondsindet DLL skrevet i programmeringssproget Nim og anvender sin egen RC4-algoritmeimplementering til dekryptering af PlugX, der afviger fra tidligere versioner, der var afhængige af Windows Cryptsp.dll-biblioteket.
