Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

Un attacco rilevato, sei armi nuove: il ritorno di Mustang Panda terrorizza l’Asia

Redazione RHC : 2 Maggio 2025 08:14

Il gruppo Mustang Panda, legato alla Cina, è tornato sotto i riflettori dopo aver preso di mira un’organizzazione in Myanmar. L’operazione ha comportato l’impiego di una nuova ondata di strumenti dannosi che non erano stati precedentemente osservati dai ricercatori. Questo caso evidenzia quanto il gruppo adotti misure sistematiche e mirate per aumentare la sofisticatezza e la segretezza dei propri attacchi informatici.

Uno degli elementi principali degli ultimi attacchi è stata una versione aggiornata della backdoor TONESHELL. Secondo Zscaler ThreatLabz (1 , 2), la sua modifica ora utilizza un protocollo FakeTLS migliorato per comunicare con il server di comando e controllo e ha anche cambiato il metodo di generazione e memorizzazione degli identificatori delle vittime. Ciò riduce la probabilità di rilevamento e aumenta la resilienza quando si opera all’interno di una rete compromessa.

Oltre alla versione aggiornata di TONESHELL, gli esperti hanno identificato contemporaneamente tre sue varianti. Una di queste è una normale reverse shell, l’altra consente di scaricare DLL dal server di controllo e di iniettarle in processi legittimi come “svchost.exe“. La terza opzione è la più complessa: scarica file arbitrari ed esegue comandi dal server remoto tramite il proprio protocollo TCP.


CALL FOR SPONSOR - Sponsorizza l'ottavo episodio della serie Betti-RHC

Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"? Conosci il nostro corso sul cybersecurity awareness a fumetti? Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati.

Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]


Supporta RHC attraverso:
  • L'acquisto del fumetto sul Cybersecurity Awareness
  • Ascoltando i nostri Podcast
  • Seguendo RHC su WhatsApp
  • Seguendo RHC su Telegram
  • Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab


  • Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.


    Un miglioramento significativo del toolkit è stato il componente StarProxy, utilizzato per lo spostamento verso reti interne. Viene avviato tramite DLL Sideloading e utilizza lo stesso protocollo FakeTLS. StarProxy esegue il proxy del traffico tra le macchine infette e i server C&C utilizzando socket TCP e crittografando i dati con un algoritmo XOR personalizzato. Il suo utilizzo è particolarmente efficace quando si lavora con dispositivi che non hanno accesso diretto a Internet.

    Inoltre, durante l’indagine, gli specialisti di Zscaler hanno scoperto due nuovi keylogger: PAKLOG e CorKLOG. Entrambi registrano le sequenze di tasti premuti e i dati degli appunti, tuttavia CorKLOG utilizza la crittografia RC4 per memorizzare i registri e crea meccanismi di avvio automatico tramite i servizi di sistema e il task scheduler. È importante notare che entrambi gli strumenti non trasferiscono dati autonomamente: questa funzione è implementata da componenti esterni, il che rende difficile il rilevamento.

    Un altro elemento nell’arsenale di Mustang Panda è un driver del kernel di Windows chiamato SplatCloak. Si installa tramite lo strumento SplatDropper e disattiva i meccanismi di protezione associati alle soluzioni Windows Defender e Kaspersky Lab. Ciò consente ai processi dannosi di operare senza interferenze da parte dei sistemi di sicurezza.

    Mustang Panda, nota anche come BASIN, Bronze President, Camaro Dragon, Earth Preta e altri alias, è attiva almeno dal 2012. Le sue attività si sono tradizionalmente concentrate su strutture governative, eserciti, minoranze etniche e organizzazioni non profit nei paesi dell’Asia orientale. Per lungo tempo uno dei suoi biglietti da visita è stata la distribuzione di PlugX tramite DLL Sideloading, ma negli ultimi anni si è assistito a un netto passaggio a mezzi più sofisticati e adattabili.

    La varietà di nuovi componenti, gli aggiornamenti regolari e la mimetizzazione multistrato indicano un elevato livello di preparazione e flessibilità della squadra d’attacco. Tutte queste misure mirano ad aumentare l’efficienza e la sopravvivenza delle operazioni in condizioni di dura concorrenza nel campo della sicurezza informatica.

    Redazione
    La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

    Lista degli articoli

    Articoli in evidenza

    Stai pianificando il passaggio da Windows a Linux? Allora passa, APT36 è già lì ad aspettarti!
    Di Redazione RHC - 25/08/2025

    APT36, noto anche come Transparent Tribe, ha intensificato una nuova campagna di spionaggio contro organizzazioni governative e di difesa in India. Il gruppo, legato al Pakistan, è attivo almeno ...

    Malware Forge: Nasce il laboratorio di Malware Analysis di Red Hot Cyber
    Di Redazione RHC - 25/08/2025

    Nasce una nuova stella all’interno dell’ecosistema di Red Hot Cyber, un progetto pianificato da tempo che oggi vede finalmente la sua realizzazione. Si tratta di un laboratorio allȁ...

    200 modelli di auto vulnerabili? Sul darknet spunta il firmware ‘killer’ per Flipper Zero
    Di Redazione RHC - 25/08/2025

    Il tema dell’hacking e del furto di auto tramite Flipper Zero è tornato alla ribalta in tutto il mondo e anche noi ne abbiamo parlato con un recente articolo. Questa volta, gli hacker hann...

    “Figliuolo, accedi allo smartphone di tuo padre!” Forte aumento delle Frodi che utilizzano i minori
    Di Redazione RHC - 25/08/2025

    F6 ha segnalato un forte aumento delle frodi in cui i criminali sfruttano i minori per accedere ai conti bancari dei genitori. Secondo gli analisti, nella prima metà del 2025 sono stati registrat...

    Windows 11 Insider Preview: nuove funzionalità e miglioramenti in vista
    Di Redazione RHC - 25/08/2025

    Microsoft ha rilasciato una nuova build 26200.5761 (KB5064093) di Windows 11 Insider Preview per gli utenti Windows Insider nel Canale Dev. L’aggiornamento introduce diverse interessanti funzio...