Hodur البرامج الضارة
تم استخدام برنامج ضار غير معروف سابقًا في حملة هجوم نُسبت إلى مجموعة Mustang Panda APT (التهديد المستمر المتقدم). تُعرف مجموعة الجرائم الإلكترونية أيضًا باسم TA416 أو RedDelta أو PKPLUG. هذه الإضافة الجديدة لترسانة التهديد أطلق عليها الباحثون اسم Hodur من قبل الباحثين الذين كشفوا عن عملية الهجوم وحللوا تهديد البرمجيات الخبيثة. وفقًا لتقريرهم ، فإن Hodur هو بديل يعتمد على برنامج Korplug RAT الضار. علاوة على ذلك ، فإنه يحمل تشابهًا كبيرًا مع نوع Korplug آخر معروف باسم THOR ، والذي تم توثيقه لأول مرة بواسطة الوحدة 42 في عام 2020.
حملة هجوم
يُعتقد أن عملية نشر تهديد Hodur قد بدأت في أغسطس 2021. وهي تتبع نموذجية لـ Mustang Panda TTPs (التكتيكات والتقنيات والإجراءات). تم التعرف على ضحايا الهجوم في عدة دول منتشرة عبر عدة قارات. تم التعرف على الآلات المصابة في منغوليا وفيتنام وروسيا واليونان ودول أخرى. كانت الأهداف كيانات مرتبطة بالبعثات الدبلوماسية الأوروبية ومقدمي خدمات الإنترنت (ISPs) والمنظمات البحثية.
تضمن ناقل العدوى الأولي نشر وثائق إغراء تستفيد من الأحداث العالمية الحالية. في الواقع ، لا تزال Mustang Panda تُظهر قدرتها على تحديث مستندات شركها بسرعة لاستغلال أي حدث مهم. تم اكتشاف المجموعة باستخدام لائحة الاتحاد الأوروبي المتعلقة بـ COVID-19 بعد أسبوعين فقط من سنه ونشر وثائق حول الحرب في أوكرانيا بعد أيام فقط من الغزو الروسي المفاجئ للبلاد.
تهديد القدرات
وتجدر الإشارة إلى أن المتسللين قد وضعوا تقنيات مكافحة التحليل ، بالإضافة إلى تشويش التحكم في التدفق في كل مرحلة من مراحل عملية نشر البرامج الضارة ، وهي خاصية نادرًا ما تظهر في حملات الهجوم الأخرى. يتم بدء برنامج Hodur الضار عبر أداة تحميل مخصصة ، مما يُظهر تركيز المتسللين المستمر على التكرار وإنشاء أدوات تهديد جديدة.
بمجرد نشر برنامج Hodur الضار بشكل كامل ، يمكنه التعرف على مجموعتين كبيرتين من الأوامر. يتكون الأول من 7 أوامر مميزة ويهتم في الغالب بتنفيذ البرامج الضارة والاستطلاع الأولي وجمع البيانات التي يتم إجراؤها على الجهاز المخترق. مجموعة القيادة الثانية أكبر بكثير مع ما يقرب من 20 أمرًا مختلفًا يتعلق بقدرات التحكم عن بعد للتهديد. يمكن للقراصنة أن يوجهوا Hodur لإدراج جميع محركات الأقراص المعينة على النظام أو محتويات دليل معين ، وفتح الملفات أو كتابتها ، وتنفيذ الأوامر على سطح مكتب مخفي ، وفتح جلسة cmd.exe عن بُعد وتنفيذ الأوامر ، وتحديد موقع الملفات المطابقة للنمط المقدم و اكثر.
