Hodur Malware
Dříve neznámý malware byl použit v útočné kampani přisuzované skupině Mustang Panda APT (Advanced Persistent Threat). Skupina kyberzločinu je také známá jako TA416, RedDelta nebo PKPLUG. Tento nový přírůstek do svého hrozivého arzenálu byl výzkumníky, kteří odhalili operaci útoku a analyzovali hrozbu malwaru, pojmenován Hodur. Podle jejich zprávy je Hodur variantou založenou na malwaru Korplug RAT . Navíc se výrazně podobá jiné variantě Korplug známé jako THOR, která byla poprvé zdokumentována Unit 42 již v roce 2020.
Útočná kampaň
Předpokládá se, že operace rozmístění hrozby Hodur začala kolem srpna 2021. Následuje typické TTP (taktiky, techniky a postupy) Mustang Panda. Oběti útoku byly identifikovány v několika zemích na několika kontinentech. Infikované stroje byly identifikovány v Mongolsku, Vietnamu, Rusku, Řecku a dalších zemích. Cílem byly subjekty spojené s evropskými diplomatickými misemi, poskytovateli internetových služeb (ISP) a výzkumnými organizacemi.
Prvotní infekční vektor zahrnoval šíření dokumentů s návnadou, které využívají současné globální události. Mustang Panda skutečně stále prokazuje svou schopnost rychle aktualizovat své návnady, aby bylo možné využít jakoukoli významnou událost. Skupina byla objevena pomocí nařízení EU ohledně COVID-19 pouhé dva týdny poté, co byla uzákoněna a dokumenty o válce na Ukrajině byly rozmístěny jen pár dní po překvapivé ruské invazi do země.
Ohrožující schopnosti
Je třeba poznamenat, že hackeři nastavili antianalytické techniky a také zatemnění kontrolního toku v každé fázi procesu zavádění malwaru, což je vlastnost, kterou lze v jiných útočných kampaních vidět jen zřídka. Malware Hodur se spouští pomocí vlastního zavaděče, což ukazuje, že se hackeři neustále soustředí na iteraci a vytváření nových ohrožujících nástrojů.
Malware Hodur, jakmile je plně nasazen, dokáže rozpoznat dvě velké skupiny příkazů. První z nich se skládá ze 7 různých příkazů a většinou se zabývá spuštěním malwaru a počátečním průzkumem a sběrem dat provedeným na narušeném zařízení. Druhá skupina příkazů je mnohem větší a obsahuje téměř 20 různých příkazů souvisejících s možnostmi RAT hrozby. Hackeři mohou dát Hodurovi pokyn, aby vypsal všechny namapované jednotky v systému nebo obsah konkrétního adresáře, otevíral nebo zapisoval soubory, spouštěl příkazy na skryté ploše, otevíral vzdálenou relaci cmd.exe a spouštěl příkazy, vyhledával soubory odpovídající zadanému vzoru. a více.
