Mustang Panda, hava boşluğu sistemlerini hedeflemek için SNAKEDISK USB solucanı ve Toneshell Backdoor kullanıyor

IBM X-Force araştırmacıları, Mustang Panda olarak da bilinen Çin uyumlu tehdit aktör Hive0154 tarafından düzenlenen sofistike yeni kötü amaçlı yazılım kampanyalarını ortaya çıkardılar.

Keşif, algılama sistemlerinden kaçınan gelişmiş bir Toneshell arka kapı varyantı ve özellikle Tayland tabanlı cihazları hedefleyen Snakedisk adı verilen yeni bir USB solucanı içeriyor.

Gelişmiş Toneshell Backdoor kaçınma tespiti

Toneshell9 olarak adlandırılan Toneshell’in en son yinelemesi, tehdit oyuncunun yeteneklerinde önemli bir ilerlemeyi temsil ediyor.

Bu güncellenmiş varyant, kötü amaçlı yazılımın yerel olarak yapılandırılmış proxy sunucularını kullanarak meşru kurumsal ağ trafiğiyle sorunsuz bir şekilde karışmasını sağlayan proxy iletişim özellikleri sunar.

Temel Teknik Özellikler:

• Çift ters kabuk işlevselliği Eşzamanlı komut yürütme akışlarını etkinleştirme.
• Proxy’ye duyarlı iletişim Kurumsal çıkış filtrelemesini atlamak için.
• Geliştirilmiş Kırılma Teknikleri Chatgpt kaynaklı dizelerle önemsiz kod enjeksiyonu dahil.
• Özel şifreleme yöntemleri Modifiye sahte rastgele numara jeneratörleri kullanma.

Toneshell9, DLL kenar yükleme teknikleri aracılığıyla kalıcılık oluşturur ve trafiği TLS 1.2 uygulama veri paketleri olarak gizleyerek komut ve kontrol iletişimini sürdürür.

Kötü amaçlı yazılım, birden çok C2 sunucusu, proxy yapılandırmaları ve şifreleme anahtarlarını aynı anda yönetebilen gelişmiş bir istemci nesnesi oluşturur.

Proxy ayarları için Windows kayıt defteri kovanlarını numaralandırma yeteneği, grubun kurumsal ağ mimarileri hakkındaki derin anlayışını gösterir.

SNAKEDISK WORM TAYLAND’a vuruyor

Yeni tanımlanan Snakedisk USB solucanı, HIVE0154’ün siber casusluk operasyonlarına hedeflenen yaklaşımını sergiliyor.

Bu kötü amaçlı yazılım, uygulamadan önce Tayland tabanlı IP adreslerini özellikle kontrol ederek, artan bölgesel gerilimler sırasında Tayland hükümetine ve organizasyonel ağlara stratejik bir odaklanma önermektedir.

Operasyonel Özellikler:

• Coğrafi konum tabanlı yürütme Tayland IP adresleriyle sınırlı.
• USB yayılma mekanizması Çıkarılabilir depolama aygıtlarının enfekte edilmesi.
• Yokai Backdoor Dağıtım Kalıcı uzaktan erişim oluşturmak.
• Dosya gizleme özellikleri Tespiti önlemek için meşru USB içeriklerini maskeleme.

SNAKEDISK’in konuşlandırılmasının zamanlaması, 2025 yılı boyunca artan Tayland-Kambodi sınır anlaşmazlıkları ve diplomatik gerilimlerle çakışıyor.

Solucanın sofistike USB enfeksiyon mekanizması, hassas hükümet ortamlarında yaygın olarak kullanılan hava kaplı sistemlere nüfuz etme girişimlerini önermektedir.

Tetiklendiğinde, SNAKEDISK daha önce Aralık 2024’te Taylandlı yetkililere yönelik kampanyalara bağlı Yokai arka kapısını düşürüyor.

Çin siber operasyonlarının genişletilmesi

Güvenlik araştırmacıları, bu etkinliği, devlet kurumlarını, düşünce kuruluşlarını ve Doğu Asya’daki özel kuruluşları hedefleyen birden fazla alt kümeyi işleten iyi kurulmuş bir Çin uyumlu tehdit grubu olan HIVE0154’e bağlar.

Grubun Arsenal’i, ileri geliştirme yeteneklerini gösteren çok sayıda özel kötü amaçlı yazılım yükleyicisi, backroors ve USB solucan ailesi içerir.

2025’in ortalarında Singapur ve Tayland’dan yüklenen silahlı arşivlerin keşfi, Güneydoğu Asya kuruluşlarının sürekli hedeflenmesini göstermektedir.

Bu kampanyalar, Box ve Google Drive gibi bulut depolama platformları aracılığıyla dağıtılan sahte Myanmar Dışişleri Bakanlığı belgeleri de dahil olmak üzere hükümet iletişimini taklit eden sosyal mühendislik lurs kullanmıştır.

IBM X-Force, Çin’in bölgedeki stratejik çıkarlarının, özellikle Kamboçya ile ilgili olarak kilit bir müttefik olarak, Tayland’a karşı yoğun operasyonlar için motivasyon sağlamış olabileceğini değerlendiriyor.

Coğrafi olarak kısıtlanmış kötü amaçlı yazılımların konuşlandırılması, bölgesel istikrarsızlık döneminde istihbarat toplama için hesaplanmış bir yaklaşım önermektedir.

Hedeflenen bölgelerdeki kuruluşlar, şüpheli USB cihazlarının izlenmesi, uygun el sıkışmaları olmadan TLS trafiğini algılama ve resmi iletişimdeki bulut depolama indirme bağlantılarını incelemek gibi gelişmiş güvenlik önlemleri uygulamalıdır.

Bu araçların sofistike doğası, HIVE0154’ün sürekli evrimini bölgesel istikrar ve örgütsel güvenlik için önemli bir siber tehdit olarak göstermektedir.

Uzlaşma Göstergeleri (IOCS):

Bu hikayeyi ilginç bul! Daha fazla güncelleme almak için bizi LinkedIn ve X’te takip edin.