มัลแวร์ Hodur
มัลแวร์ที่ไม่รู้จักก่อนหน้านี้ถูกใช้ในแคมเปญการโจมตีที่เกิดจากกลุ่ม Mustang Panda APT (Advanced Persistent Threat) กลุ่มอาชญากรไซเบอร์เรียกอีกอย่างว่า TA416, RedDelta หรือ PKPLUG การเพิ่มใหม่ในคลังแสงที่คุกคามนี้ได้รับการตั้งชื่อว่า Hodur โดยนักวิจัยที่เปิดเผยการโจมตีและวิเคราะห์ภัยคุกคามจากมัลแวร์ ตามรายงานของพวกเขา Hodur เป็นตัวแปรที่ใช้มัลแวร์ Korplug RAT นอกจากนี้ยังมีความคล้ายคลึงอย่างมากกับตัวแปร Korplug อื่นที่เรียกว่า THOR ซึ่งได้รับการบันทึกครั้งแรกโดยหน่วย 42 ย้อนกลับไปในปี 2020
แคมเปญโจมตี
การดำเนินการปรับใช้ภัยคุกคาม Hodur นั้นเชื่อกันว่าได้เริ่มต้นประมาณเดือนสิงหาคม 2564 ซึ่งเป็นไปตามมาตรฐาน TTP ของมัสแตงแพนด้า (กลยุทธ์ เทคนิค และขั้นตอน) เหยื่อของการโจมตีได้รับการระบุในหลายประเทศกระจายไปทั่วหลายทวีป พบเครื่องที่ติดเชื้อในมองโกเลีย เวียดนาม รัสเซีย กรีซ และประเทศอื่นๆ เป้าหมายคือหน่วยงานที่เกี่ยวข้องกับภารกิจทางการทูตของยุโรป ผู้ให้บริการอินเทอร์เน็ต (ISP) และองค์กรวิจัย
เวกเตอร์การติดเชื้อเริ่มต้นเกี่ยวข้องกับการเผยแพร่เอกสารหลอกลวงที่ใช้ประโยชน์จากเหตุการณ์ทั่วโลกในปัจจุบัน อันที่จริง Mustang Panda ยังคงแสดงให้เห็นถึงความสามารถในการอัปเดตเอกสารล่ออย่างรวดเร็วเพื่อใช้ประโยชน์จากเหตุการณ์สำคัญ ๆ กลุ่มนี้ถูกค้นพบโดยใช้กฎระเบียบของสหภาพยุโรปเกี่ยวกับ COVID-19 เพียงสองสัปดาห์หลังจากที่ได้มีการประกาศใช้ และเอกสารเกี่ยวกับสงครามในยูเครนก็ถูกนำไปใช้งานเพียงไม่กี่วันหลังจากที่รัสเซียบุกเข้ามาในประเทศ
ความสามารถในการคุกคาม
ควรสังเกตว่าแฮ็กเกอร์ได้ตั้งค่าเทคนิคการต่อต้านการวิเคราะห์ รวมถึงการทำให้เกิดความสับสนในขั้นตอนการควบคุมในทุกขั้นตอนของกระบวนการติดตั้งมัลแวร์ ซึ่งเป็นลักษณะที่ไม่ค่อยพบเห็นในแคมเปญโจมตีอื่นๆ มัลแวร์ Hodur เริ่มต้นจากตัวโหลดแบบกำหนดเอง ซึ่งแสดงให้เห็นว่าแฮกเกอร์ยังคงมุ่งเน้นที่การทำซ้ำและการสร้างเครื่องมือคุกคามใหม่ ๆ อย่างต่อเนื่อง
มัลแวร์ Hodur เมื่อปรับใช้อย่างสมบูรณ์แล้ว สามารถรับรู้คำสั่งกลุ่มใหญ่สองกลุ่ม คำสั่งแรกประกอบด้วยคำสั่งที่แตกต่างกัน 7 คำสั่งและส่วนใหญ่เกี่ยวข้องกับการดำเนินการกับมัลแวร์และการสอดแนมเบื้องต้นและการรวบรวมข้อมูลที่ดำเนินการบนอุปกรณ์ที่ถูกละเมิด กลุ่มคำสั่งที่สองมีขนาดใหญ่กว่ามาก โดยมีคำสั่งต่างๆ เกือบ 20 คำสั่งที่เกี่ยวข้องกับความสามารถของ RAT ของภัยคุกคาม แฮกเกอร์สามารถสั่งให้ Hodur แสดงรายการไดรฟ์ที่แมปทั้งหมดบนระบบหรือเนื้อหาของไดเร็กทอรีเฉพาะ เปิดหรือเขียนไฟล์ รันคำสั่งบนเดสก์ท็อปที่ซ่อนอยู่ เปิดเซสชัน cmd.exe ระยะไกล และรันคำสั่ง ค้นหาไฟล์ที่ตรงกับรูปแบบที่ให้ไว้ และอื่น ๆ.
