Китайският държавен извършител, известен като Mustang Panda, е свързан с нов набор от сложни и целенасочени атаки, насочени към европейски структури в областта на външните работи от януари 2023 г. насам.

Анализът на тези прониквания, извършен от изследователите на Check Point Итай Коен и Радослав Мадей, разкрива имплант на персонализиран фърмуер, предназначен изрично за рутерите на TP-Link.

„Имплантът включва няколко злонамерени компонента, включително персонализирана задна врата, наречена „Horse Shell“, която позволява на нападателите да поддържат постоянен достъп, да изграждат анонимна инфраструктура и да дават възможност за странично придвижване в компрометирани мрежи“, заявиха от компанията.

„Благодарение на фърмуерно агностичния си дизайн компонентите на импланта могат да бъдат интегрирани в различни фърмуери на различни производители.“

Израелската фирма за киберсигурност проследява групата за заплахи под името Camaro Dragon, която е известна още като BASIN, Bronze President, Earth Preta, HoneyMyte, RedDelta и Red Lich.

Точният метод, използван за внедряване на подправените образи на фърмуера в заразените рутери, засега не е известен, както и неговото използване и участие в действителните атаки. Предполага се, че първоначалният достъп може да е бил придобит чрез използване на известни пропуски в сигурността или чрез грубо насилване на устройства с пароли по подразбиране или лесно отгатваеми пароли.

Това, което се знае, е, че имплантът Horse Shell, базиран на C++, предоставя на атакуващите възможността да изпълняват произволни шел команди, да качват и изтеглят файлове към и от маршрутизатора, както и да предават комуникация между два различни клиента.

Интересен обрат е, че задната врата на маршрутизатора е насочена към произволни устройства в жилищни и домашни мрежи, което предполага, че компрометираните рутери са включени в  мрежа с цел създаване на „верига от възли между основните инфекции и реалното командване и контрол“.

При препредаването на комуникациите между заразените маршрутизатори чрез използване на SOCKS тунел идеята е да се въведе допълнително ниво на анонимност и да се скрие крайният сървър, тъй като всеки възел във веригата съдържа информация само за предхождащите и следващите го възли.

Казано по друг начин, методите скриват произхода и местоназначението на трафика по начин, аналогичен на TOR, което прави много по-трудно откриването на обхвата на атаката и нейното прекъсване.

„Ако един възел от веригата е компрометиран или свален, нападателят все още може да поддържа комуникация с C2, като маршрутизира трафика през друг възел от веригата“, обясняват изследователите.

Въпреки това това не е първият случай, в който свързани с Китай банди разчитат на мрежа от компрометирани маршрутизатори, за да постигнат стратегическите си цели.

През 2021 г. Националната агенция за киберсигурност на Франция (ANSSI) подробно описа набор от прониквания, организирани от APT31 (известна още като Judgement Panda или Violet Typhoon), която използва част от усъвършенстван зловреден софтуер, известен като Pakdoor (или SoWat), за да позволи на заразените рутери да комуникират помежду си.

„Откритието е още един пример за дългогодишната тенденция на китайците да използват мрежови устройства, насочени към интернет, и да променят основния им софтуер или фърмуер“, казват изследователите.