DOPLUGS-Hintertür, die von chinesischen Hackern eingesetzt wird

Mustang Panda, ein Bedrohungsakteur mit Verbindungen zu China, hat seine Cyberspionagebemühungen auf mehrere asiatische Länder konzentriert, indem er eine modifizierte Version der PlugX-Hintertür (auch bekannt als Korplug) namens DOPLUGS eingesetzt hat.

Laut Forschern unterscheidet sich diese angepasste PlugX-Malware von der typischen Variante durch das Fehlen eines vollständigen Backdoor-Befehlsmoduls. Vielmehr dient es ausschließlich dem Download des besagten Moduls. DOPLUGS zielt hauptsächlich auf Unternehmen in Taiwan und Vietnam ab, mit kleineren Fällen in Hongkong, Indien, Japan, Malaysia, der Mongolei und sogar China.

Mustang Panda, auch bekannt als BASIN, Bronze President, Camaro Dragon, Earth Preta, HoneyMyte, RedDelta, Red Lich, Stately Taurus, TA416 und TEMP.Hex, nutzt PlugX seit mindestens 2012, obwohl seine Aktivitäten erstmals in enthüllt wurden 2017.

Mustang Panda nutzt Phishing als ersten Angriffsvektor

Die Vorgehensweise des Bedrohungsakteurs besteht darin, ausgefeilte Spear-Phishing-Kampagnen durchzuführen, um verschiedene benutzerdefinierte Malware zu verbreiten. Seit 2018 setzt Mustang Panda seine eigenen maßgeschneiderten Versionen von PlugX ein, wie RedDelta, Thor, Hodur und DOPLUGS (verbreitet über die SmugX-Kampagne).

Bei Kompromittierungsketten handelt es sich um gut gestaltete Spear-Phishing-Nachrichten, die eine erste Nutzlast verschicken, die als Täuschungsdokument getarnt ist. Diese Nutzlast entpackt heimlich eine legitime, signierte ausführbare Datei, die für DLL-Sideloading anfällig ist. Anschließend wird eine Dynamic Link Library (DLL) seitlich geladen, die PlugX entschlüsselt und ausführt.

Die PlugX-Malware ruft dann den Fernzugriffstrojaner (RAT) Poison Ivy oder Cobalt Strike Beacon ab, um eine Verbindung mit einem von Mustang Panda kontrollierten Server herzustellen.

Im Dezember 2023 entdeckte Lab52 eine Mustang-Panda-Kampagne, die sich mit DOPLUGS an taiwanesische politische, diplomatische und staatliche Einrichtungen richtete. Bemerkenswert ist, dass diese Variante eine bösartige DLL enthält, die in der Programmiersprache Nim geschrieben ist, und eine eigene RC4-Algorithmusimplementierung zum Entschlüsseln von PlugX verwendet, was von früheren Versionen abweicht, die auf der Windows-Bibliothek Cryptsp.dll beruhten.