Mustang Panda steckt hinter neuen Cyberangriffen auf Banken

Die mit China verbundene Cyberspionagegruppe Mustang Panda steckt hinter einer neuen Kampagne, bei der eine aktualisierte Version der LOTUSLITE-Hintertür verwendet wird, um Banken in Indien und Personen mit Verbindungen zu südkoreanischen diplomatischen und sicherheitspolitischen Angelegenheiten anzugreifen. Acronis-Bedrohungsforschungseinheit Die Angriffe zeigen, dass die Gruppe ihre Werkzeuge weiterentwickelt und gleichzeitig ihren geografischen Fokus und ihre Ziele im Bereich der Aufklärung ausweitet.

Die neue Malware-Variante wird über DLL-Sideloading verbreitet, wobei Angreifer legitime, von Microsoft signierte Dateien verwenden, um bösartigen Code zu laden, ohne Verdacht zu erregen. LOTUS LITE Anschließend kommuniziert das System über verschlüsselten HTTPS-Verkehr mit einem Command-and-Control-Server und ermöglicht Angreifern so Fernsteuerung, Dateiverwaltung und Sitzungskontrolle. Laut den Forschern deutet dies eindeutig auf Cyberspionage und nicht auf finanziell motivierte Angriffe hin.

Neue Angriffskette mit verbesserter Tarnung

Der Angriff beginnt mit Spear-Phishing, bei dem das Opfer eine schädliche CHM-Datei mit Bezug zum indischen Bankensektor erhält. Beim Öffnen der Datei wird ein JavaScript-basierter Ladevorgang ausgelöst, der Code abruft und ausführt. Malware durch DLL-Sideloading unter Verwendung einer legitimen Microsoft-Komponente. Dadurch kann Schadcode unter dem Deckmantel eines vertrauenswürdigen Programms ausgeführt werden, was die Erkennung mit herkömmlichen Sicherheitslösungen erschwert.

Acronis weist darauf hin, dass die LOTUSLITE-Variante im Vergleich zu früheren Versionen mehrere technische Änderungen aufweist, darunter neue Befehlsflags, geänderte interne Kennungen, aktualisierte API-Ketten und neue Sideloading-Binärdateien. Gleichzeitig finden sich deutliche Spuren früherer LOTUSLITE-Versionen, was laut den Forschern die Verbindung zu Mustang Panda untermauert.

Von geopolitischen Anreizen bis hin zu finanziellen Zielen

Mustang Panda hatte es bisher vor allem auf Regierungsbehörden abgesehen., diplomatische Ziele und politikbezogene Organisationen. Neu an dieser Kampagne ist, dass die Gruppe nun auch den indischen Bankensektor ins Visier nimmt, während Spuren der Angriffe auch auf Personen in südkoreanischen diplomatischen und Sicherheitskreisen hinweisen. Dies deutet eher auf eine Ausweitung des nachrichtendienstlichen Fokus der Gruppe als auf eine bloße geografische Expansion hin.

Die Forscher beschreiben die Angriffe als Beispiel dafür, wie staatlich verbundene Bedrohungsakteure weiterhin relativ einfache, aber bewährte Techniken einsetzen, wobei der Erfolg eher auf sozialer Manipulation, relevanten Ködern und vertrauenswürdigen Systemkomponenten als auf fortgeschrittenen Exploits beruht.

Eine wachsende Bedrohung für kritische Sektoren

Für Sicherheitsmanager zeigt die Kampagne, dass DLL-Sideloading, dynamische DNS-Infrastruktur und legitime signierte Binärdateien weiterhin effektive Methoden sind, um verdeckten Zugriff auf Zielumgebungen zu erlangen. Gleichzeitig zeigt sie, dass… LOTUSLITE nach Mustang Panda entwickelt seine Tools zwischen den Kampagnen aktiv weiter, um das Entdeckungsrisiko zu verringern und sich an neue Ziele anzupassen.

Acronis Die Analysten gehen mit mittlerer Wahrscheinlichkeit davon aus, dass die Angriffe mit Mustang Panda in Verbindung gebracht werden können. Grundlage hierfür sind Ähnlichkeiten im Code, Infrastrukturmuster, Übertragungsmethoden und operative Fehler, die bereits in früheren Kampagnen auftraten. Für Banken, Regierungen und politische Organisationen ist dies eine weitere Mahnung, dass selbst relativ einfache Angriffsketten in Kombination mit Social Engineering und dem Missbrauch vertrauenswürdiger Systemkomponenten eine ernsthafte Bedrohung durch Cyberspionage darstellen können.