תולעת USB של SnakeDisk

גורם האיום המזוהה עם סין, המכונה Mustang Panda, השיק כלים חדשים בקמפיינים של ריגול סייבר. חוקרים תיעדו לאחרונה את השימוש בדלת אחורית משודרגת מסוג TONESHELL לצד תולעת USB שלא הייתה מוכרת קודם לכן בשם SnakeDisk. שתי התוספות מחזקות את המוניטין של הקבוצה כאחת היריבות העקשניות ביותר בחסות המדינה.

מי עומד מאחורי המתקפות?

מומחי אבטחת סייבר עוקבים אחר פעילות זו תחת האשכול Hive0154, שם כללי הקשור ל-Mustang Panda. אשכול זה ידוע גם במספר שמות בדויים, ביניהם BASIN, Bronze President, Camaro Dragon, Earth Preta, HoneyMyte, Polaris, RedDelta, Stately Taurus ו-Twill Typhoon.

ראיות מצביעות על כך שמוסטנג פנדה פעילה מאז לפחות 2012, ומבצעת פעולות ממוקדות ריגול מטעם האינטרסים של המדינה הסינית.

SnakeDisk: תולעת USB חשאית

SnakeDisk היא תולעת שזוהתה לאחרונה ומתפשטת באמצעות טעינה צדדית של קבצי DLL. היא שייכת למשפחת תוכנות הזדוניות TONESHELL ומראה חפיפה ברורה עם מסגרת תולעת USB אחרת, TONEDISK (הידועה גם כ-WispRider).

היכולות העיקריות שלה כוללות:

• ניטור התקני USB מחוברים לאיתור הזדמנויות התפשטות.
• העברת קבצי USB קיימים לתת-ספרייה נסתרת, ולאחר מכן החלפתם בקובץ הפעלה זדוני במסווה של שם אמצעי האחסון של המכשיר או פשוט USB.exe.
• שחזור הקבצים המקוריים לאחר הפעלת התוכנה הזדונית במערכת חדשה, מה שמפחית את החשד.

מאפיין בולט הוא הגיאוגרפיה שלו: SnakeDisk פועל רק על מכשירים עם כתובות IP מבוססות תאילנד, מה שמצמצם את טווח המיקוד שלו.

יוקאי: הדלת האחורית מועברת על ידי SnakeDisk

SnakeDisk משמש כמנגנון אספקה עבור Yokai, דלת אחורית שמקימה מעטפת הפוכה להפעלת פקודות שרירותיות. דווח לראשונה בדצמבר 2024, Yokai נקשר לקמפיינים נגד פקידים תאילנדים.

לתוכנה הזדונית קווי דמיון טכניים עם משפחות אחרות של דלתות אחוריות המיוחסות ל-Hive0154, כולל PUBLOAD/PUBSHELL ו-TONESHELL. למרות היותן זנים נפרדים, משפחות אלו משתמשות במבנים וטכניקות דומים כדי לתקשר עם שרתי פיקוד ובקרה (C2).

מיקוד אסטרטגי בתאילנד

כללי המיקוד המובנים ב-SnakeDisk והפריסה של Yokai מצביעים בצורה חזקה על כך שתת-קבוצה של Mustang Panda מתמקדת במידה רבה בתאילנד. זה מצביע על אסטרטגיה מעודנת ופעילות מותאמת אישית בדרום מזרח אסיה.

מערכת אקולוגית של תוכנות זדוניות עצומה ומתפתחת

Hive0154 בולטת ביכולתה לתחזק מערכת אקולוגית גדולה ומקושרת של תוכנות זדוניות. פעילותה מדגימה:

• חפיפות תכופות בקוד זדוני וטכניקות תקיפה.
• ניסויים מתמשכים עם תת-אשכולות ותוכנות זדוניות מיוחדות.
• קצב עקבי של מחזורי פיתוח, תוך הדגשת יכולת הסתגלות.

הארסנל המתפתח של מוסטנג פנדה מדגיש את המחויבות ארוכת הטווח של גורם האיום לקידום יכולות הריגול שלו תוך חידוד המיקוד האזורי שלו.