תוכנות זדוניות של חודור
נעשה שימוש בתוכנה זדונית שלא הייתה ידועה בעבר בקמפיין תקיפה המיוחס לקבוצת Mustang Panda APT (Advanced Persistent Threat). קבוצת פשעי הסייבר ידועה גם בשם TA416, RedDelta או PKPLUG. התוספת החדשה הזו לארסנל המאיים שלה קיבלה את השם Hodur על ידי החוקרים שחשפו את פעולת ההתקפה וניתחו את איום התוכנה הזדונית. על פי הדיווח שלהם, Hodur הוא גרסה המבוססת על תוכנת זדונית Korplug RAT . יתר על כן, יש לו דמיון משמעותי לגרסה אחרת של Korplug הידועה בשם THOR, שתועדה לראשונה על ידי יחידה 42 עוד ב-2020.
קמפיין תקיפה
על פי ההערכות, המבצע של פריסת איום ההודור החל בסביבות אוגוסט 2021. הוא עוקב אחר ה-TTPs הטיפוסיים של מוסטנג פנדה (טקטיקות, טכניקות ונהלים). קורבנות התקיפה זוהו במספר מדינות הפרוסות על פני כמה יבשות. מכונות נגועות זוהו במונגוליה, וייטנאם, רוסיה, יוון ומדינות נוספות. היעדים היו גופים הקשורים לנציגויות דיפלומטיות אירופיות, ספקי שירותי אינטרנט (ISP) וארגוני מחקר.
וקטור ההדבקה הראשוני כלל הפצת מסמכי פיתוי המנצלים את האירועים העולמיים הנוכחיים. ואכן, מוסטנג פנדה עדיין מוכיחה את יכולתה לעדכן במהירות את מסמכי ההטעיה שלהם כדי לנצל כל אירוע משמעותי. הקבוצה התגלתה באמצעות תקנה של האיחוד האירופי בנוגע ל-COVID-19 שבועיים בלבד לאחר חקיקתה ומסמכים על המלחמה באוקראינה נפרסו ימים ספורים לאחר הפלישה הרוסית המפתיעה למדינה.
יכולות מאיימות
יש לציין שההאקרים הקימו טכניקות אנטי-אנליזה, כמו גם ערפול זרימת בקרה בכל שלב של תהליך פריסת תוכנות זדוניות, מאפיין שנראה לעתים רחוקות בקמפיינים אחרים של התקפה. התוכנה הזדונית של Hodur מופעלת באמצעות טוען מותאם אישית, המציג את ההתמקדות המתמשכת של ההאקרים באיטרציה ויצירת כלים מאיימים חדשים.
התוכנה הזדונית של Hodur, לאחר פריסה מלאה, יכולה לזהות שתי קבוצות גדולות של פקודות. הראשונה מורכבת מ-7 פקודות נפרדות והיא עוסקת בעיקר בביצוע התוכנה הזדונית ובסיור ראשוני ואיסוף הנתונים המבוצעים במכשיר הפרוץ. קבוצת הפקודות השנייה היא הרבה יותר גדולה עם כמעט 20 פקודות שונות הקשורות ליכולות ה-RAT של האיום. ההאקרים יכולים להורות לחודור לרשום את כל הכוננים הממופים במערכת או את התוכן של ספרייה ספציפית, לפתוח או לכתוב קבצים, לבצע פקודות על שולחן עבודה נסתר, לפתוח סשן cmd.exe מרחוק ולהפעיל פקודות, לאתר קבצים התואמים לדפוס שסופק. ועוד.
