中國APT組織 Mustang Panda推出四款全新攻擊工具

2025 / 04 / 22

編輯部

中國國家支持的駭客組織之一，Mustang Panda 最近開發並升級了多款惡意程式，值得資安防護人員高度關注。

Mustang Panda（又稱 Bronze President、Stately Taurus 或 TA416）是一個疑似受中國政府支持的 APT 駭客組織。該組織以針對中國關注目標進行網路間諜活動聞名，目標涵蓋軍事和政府組織、非政府組織（NGO）、智庫、少數民族團體，以及主要產業企業。其活動範圍主要集中在東亞和東南亞地區，並延伸至西方國家。

近期，雲端運算安全公司 Zscaler 的研究人員發現該駭客組織正對一個緬甸組織發動攻擊。在此次行動中，他們運用了四款全新的攻擊工具：兩款鍵盤側錄工具、一款內網橫向移動工具，以及一款能繞過端點偵測與回應（EDR）軟體的驅動程式。同時，該組織也升級了其招牌後門程式「Toneshell」。

Mustang Panda升級惡意程式武器庫

Mustang Panda在惡意程式的傳遞方式上持續展現創意，不僅能開創新的戰術、技術和程序（TTPs），也善於創新運用現有手法。

儘管其最新攻擊採用了較為普遍的DLL側載技術，但該組織並不只使用一般中國駭客慣用的工具，更開發了一系列獨特的專屬工具。

在這些新型惡意程式中，最值得關注的是兩款鍵盤側錄程式：PAKLOG 和 CorKLOG。PAKLOG 專門擷取鍵盤輸入和剪貼簿資料，而 CorKLOG 則專注於持久性和資料加密。這兩款工具皆將記錄資料儲存於本機，但由於缺乏自動化指揮控制（C2）功能，攻擊者必須透過手動操作或其他工具來竊取資料。通常，該組織會使用後門程式「ToneShell」來擷取這些資料。而 Mustang Panda 長期以來廣泛運用 ToneShell，其最新第三版在識別受感染主機和與指揮控制（C2）基礎設施通訊方面都有顯著改進。

ToneShell 和新型代理工具「StarProxy」皆採用 FakeTLS 來掩飾惡意活動。FakeTLS 是一種特製的通訊協定，能夠仿冒合法的傳輸層安全（TLS）流量，使殼層指令和回應得以融入正常網路活動中。StarProxy 則專責協助入侵後的橫向擴散，透過已遭入侵的主機作為跳板，連結至網路中的其他設備，甚至能觸及那些未直接連接網際網路的主機。

「SplatCloak」驅動程式是 Mustang Panda 用來癱瘓 Windows Defender 及卡巴斯基（Kaspersky）防毒軟體的工具。它能識別並停用這些安全軟體在核心層級（kernel level）的回叫（callback）機制，使防毒軟體無法偵測出同一電腦上其他 Mustang Panda 惡意程式的活動。由於 SplatCloak 在核心層級運作，有別於一般在使用者模式（user mode）執行的惡意程式，它需要透過「SplatDropper」工具來部署，而這個部署工具會在完成工作後自行刪除。

由此可見，Mustang Panda 展現出精密的攻擊策略，透過不斷更新、開發新工具及採用多層混淆技術，不僅強化該組織的作業安全性，也提升攻擊的效果。

本文轉載自 DarkReading。

Mustang Panda APT EDR Toneshell 鍵盤側錄程式