Mustang Panda lạm dụng Zoho WorkDrive làm kênh C2 trong chiến dịch nhắm chính phủ Ấn Độ
"Mustang Panda is conducting espionage campaigns against Indian government and hydropower targets using spear-phishing ZIP archives, DLL sideloading, and a new implant that abuses Zoho WorkDrive as a command-and-control and data exfiltration channel. Acronis reported active compromises, attributed the activity with high confidence, and published indicators including persistence artifacts, a C2 domain, and Zoho-related user agents; no software patch is available because the issue is malicious abuse of legitimate cloud services."
Tác động bảo mật ở mức cao do lạm dụng Zoho WorkDrive để ẩn C2/exfiltration trong lưu lượng hợp lệ và kết hợp DLL sideloading từ tệp ký hợp lệ; ngoài ra việc dùng hardcoded OAuth token làm tăng khả năng bị khai thác và mở rộng phạm vi.
Rủi ro vận hành đáng kể đối với các tổ chức liên quan đến dự án thủy điện và hợp tác xuyên biên giới, vì mục tiêu là thu thập thông tin chiến lược; tác động có thể giảm nếu phát hiện sớm delivery qua spear-phishing và kiểm soát truy cập/giám sát luồng dữ liệu đám mây.
Nhóm gián điệp Mustang Panda được cho là đang triển khai hai chiến dịch nhắm tới chính phủ Ấn Độ và các mục tiêu trong lĩnh vực thủy điện, sử dụng kỹ thuật giao hàng qua spear-phishing kèm tệp ZIP chứa DLL độc hại. Theo báo cáo của Acronis Threat Research Unit, các máy bị xâm nhập có thể liên quan đến nhân sự hành chính cấp cao và đã phối hợp với CERT-In để thông báo và hỗ trợ xử lý.
Điểm đáng chú ý là phần mềm độc hại abuse dịch vụ lưu trữ đám mây Zoho WorkDrive để làm command-and-control và kênh exfiltration dữ liệu: kẻ tấn công dùng tài khoản WorkDrive như “dead drop”, đọc lệnh từ thư mục inbox và ghi dữ liệu đánh cắp ra outbox, khiến lưu lượng trông giống hoạt động hợp lệ.
Acronis mô tả ba thành phần mới: SHARDLOADER (loader qua DLL sideloading từ Solid PDF Creator hoặc Citrix Receiver), MINIRECON (biến thể backdoor Toneshell giao tiếp qua WebSocket/HTTPS), và ZOHOMURK (chứa hardcoded Zoho OAuth credentials để điều khiển WorkDrive). Không có bản vá vì đây là lạm dụng hành vi độc hại trên dịch vụ hợp pháp. Khuyến nghị: rà soát persistence Run keys, scheduled task SolidPDFPcl2Bmp, và phát hiện tiến trình gọi API đám mây không phù hợp; đồng thời theo dõi các user agent Zoho và hạ tầng C2 được nêu trong báo cáo.