Porte dérobée DOPLUGS utilisée par des pirates chinois

Mustang Panda, un acteur menaçant ayant des liens avec la Chine, a concentré ses efforts de cyberespionnage sur plusieurs pays asiatiques en employant une version modifiée de la porte dérobée PlugX (également connue sous le nom de Korplug), nommée DOPLUGS.

Selon les chercheurs, ce malware PlugX personnalisé diffère de la variante typique par l'absence d'un module de commande de porte dérobée complet. Au lieu de cela, il sert uniquement à télécharger ledit module. DOPLUGS cible principalement des entités à Taiwan et au Vietnam, avec des cas moindres à Hong Kong, en Inde, au Japon, en Malaisie, en Mongolie et même en Chine.

Mustang Panda, également identifié comme BASIN, Bronze President, Camaro Dragon, Earth Preta, HoneyMyte, RedDelta, Red Lich, Stately Taurus, TA416 et TEMP.Hex, utilise PlugX depuis au moins 2012, bien que ses activités aient été révélées pour la première fois dans 2017.

Mustang Panda utilise le phishing comme vecteur d'attaque initial

Le mode opératoire de l'acteur malveillant consiste à exécuter des campagnes sophistiquées de spear phishing pour diffuser divers logiciels malveillants personnalisés. Depuis 2018, Mustang Panda déploie ses propres versions sur mesure de PlugX, telles que RedDelta, Thor, Hodur et DOPLUGS (diffusées via la campagne SmugX).

Les chaînes de compromission impliquent des messages de spear phishing bien conçus, délivrant une charge utile initiale déguisée en document leurre. Cette charge utile décompresse secrètement un exécutable légitime et signé vulnérable au chargement latéral de DLL. Par la suite, une bibliothèque de liens dynamiques (DLL) est chargée latéralement, déchiffrant et exécutant PlugX.

Le malware PlugX récupère ensuite le cheval de Troie d'accès à distance (RAT) Poison Ivy ou Cobalt Strike Beacon pour établir une connexion avec un serveur contrôlé par Mustang Panda.

En décembre 2023, Lab52 a découvert une campagne Mustang Panda ciblant les entités politiques, diplomatiques et gouvernementales taïwanaises avec DOPLUGS. Notamment, cette variante comporte une DLL malveillante écrite dans le langage de programmation Nim et utilise sa propre implémentation d'algorithme RC4 pour décrypter PlugX, s'écartant des versions précédentes qui reposaient sur la bibliothèque Windows Cryptsp.dll.