Mustang Panda amplía su arsenal con nuevas herramientas de ataque y evasión de EDR
El grupo de amenazas avanzadas persistentes (APT) Mustang Panda, vinculado a intereses estatales chinos, ha incorporado recientemente cuatro nuevas herramientas a su arsenal ofensivo. Estas incluyen dos keyloggers, una utilidad para movimiento lateral y un controlador diseñado para evadir soluciones de Endpoint Detection and Response (EDR). Este desarrollo refleja una sofisticación creciente en las capacidades del grupo, que históricamente se ha enfocado en objetivos gubernamentales, diplomáticos y organizaciones estratégicas en Asia y Europa.
Nuevas herramientas identificadas
Según investigaciones recientes, Mustang Panda ha integrado las siguientes herramientas:
- Doskeylogger: Un keylogger avanzado que registra pulsaciones de teclado y captura pantallas periódicamente.
- Hoodrat: Otro keylogger con capacidades adicionales de exfiltración de datos cifrados.
- P8 RAT: Herramienta para movimiento lateral dentro de redes comprometidas, permitiendo escalar privilegios y propagar la infección.
- Driver de evasión EDR: Componente de bajo nivel diseñado para evitar la detección por soluciones de seguridad modernas.
Técnicas de evasión mejoradas
El driver de evasión EDR representa un avance significativo en las capacidades del grupo. Esta herramienta opera a nivel de kernel, permitiendo:
- Ocultar procesos maliciosos de los monitores de actividad del sistema.
- Enmascarar conexiones de red sospechosas.
- Interceptar llamadas al sistema que podrían revelar actividad maliciosa.
- Deshabilitar temporalmente componentes de seguridad sin generar alertas.
Implicaciones para la seguridad
La adición de estas herramientas plantea varios desafíos para los equipos de seguridad:
- Detección más difícil debido a técnicas avanzadas de evasión.
- Mayor persistencia en entornos comprometidos.
- Capacidad ampliada para robo de credenciales mediante los nuevos keyloggers.
- Movimiento más eficiente dentro de redes corporativas.
Las organizaciones objetivo deben reforzar sus medidas de protección, incluyendo:
- Implementación de soluciones EDR con capacidades de análisis de comportamiento.
- Monitoreo continuo de actividad sospechosa a nivel de kernel.
- Segmentación de red para limitar el movimiento lateral.
- Capacitación regular del personal sobre phishing y otras técnicas de entrada comunes.
Conclusión
La evolución del arsenal de Mustang Panda demuestra la continua profesionalización de los grupos APT patrocinados por estados. La inclusión de herramientas específicas para evadir EDR subraya la necesidad de que las organizaciones adopten enfoques de defensa en profundidad y mantengan actualizadas sus capacidades de detección y respuesta.
Para más detalles técnicos sobre estas herramientas, consulta el informe completo en Dark Reading.
