Il gruppo di cyber spionaggio Mustang Panda, collegato alla Cina, è stato osservato mentre conduce due campagne mirate contro obiettivi in India, con un focus su reti governative e settore idroelettrico. L’elemento più rilevante è l’uso di Zoho WorkDrive come canale di comando e controllo, una scelta che rende il traffico malevolo simile a normali attività cloud e quindi più difficile da distinguere nei log e nei sistemi di monitoraggio.
Le compromissioni hanno coinvolto anche postazioni utilizzate da personale amministrativo di alto livello. Le infezioni sarebbero state facilitate da spear phishing con archivi ZIP che contengono DLL malevole marcate come nascoste. Le esche risultano coerenti con i bersagli, ad esempio documenti legati a proposte di cooperazione nel campo dell’energia idroelettrica o memorandum tra istituzioni indiane e taiwanesi, un tema sensibile in chiave geopolitica.
Componenti malware e catena di attacco
Nelle catene di attacco emergono tre componenti malware. SHARDLOADER funge da loader e sfrutta la tecnica del DLL sideloading, caricando una libreria dannosa tramite eseguibili legittimi firmati. In una campagna viene citato un binario associato a Solid PDF Creator, nell’altra un eseguibile di Citrix Receiver. Questo passaggio consente di avviare il codice malevolo riducendo la probabilità di blocco da parte di controlli basati su reputazione.
Il secondo strumento, MINIRECON, è una variante rielaborata della backdoor Toneshell, con comunicazioni che includono beaconing tramite WebSocket su HTTPS. Questo approccio aiuta a mimetizzare la comunicazione in canali cifrati comuni e ad aumentare la resilienza operativa.
La novità principale è ZOHOMURK, che integra credenziali OAuth di Zoho hardcoded e usa un account WorkDrive controllato dagli attaccanti come dead drop. I comandi vengono letti da una cartella inbox e i dati esfiltrati vengono salvati in outbox, trasformando un servizio cloud legittimo in infrastruttura C2 e canale di furto dati.
Difesa e rilevamento
Non esiste una patch risolutiva per questo tipo di abuso. La difesa passa dall’individuazione della consegna iniziale e dal rilevamento di processi anomali che chiamano API cloud senza motivo, oltre al monitoraggio di persistenze come Run keys e attività pianificate sospette.