Mustang Panda

Mustang Panda, también conocido como TA416, o CAMARO DRAGON, es un adversario cuyo origen se ha atribuido al glorioso estado chino, activo desde al menos 2012. Con más de una década de operaciones, Mustang Panda es uno de los APT Made in China más longevos y con una de las superficies de ataque más amplias del panorama: sus campañas han impactado a gobiernos, ONGs, think tanks, entidades de investigación y organizaciones diplomáticas en Estados Unidos, Europa y con especial recurrencia en el Sudeste Asiático.

Desde el punto de vista de la victimología, Mustang Panda ha ido en casi todas las direcciones, sus gobiernos favoritos del Sudeste Asiático han sido históricamente Myanmar, Vietnam, Filipinas, Camboya, Taiwán, Singapur. También se han documentado campañas contra Mongolia, India, Pakistán, Hong Kong y, de forma más puntual, entidades en Rusia, Australia, Estados Unidos y varios países europeos. Algunas de sus operaciones más curiosas/singulares han incluido temáticas centradas en relaciones entre el Vaticano y el Partido Comunista Chino, dirigiéndose a organizaciones católicas y diplomáticas. Los sectores favoritos de esta APT incluyen gobierno y administración pública, asuntos exteriores, defensa, cuerpos policiales, y bienestar social.

En lo referente a sus técnicas, y específicamente al acceso inicial, Mustang Panda se vale casi exclusivamente en spear-phishing, ya sea mediante documentos adjuntos o enlaces maliciosos, utilizando señuelos meticulosamente adaptados al contexto político y cultural de cada objetivo, algo común entre las APTs. Trend Micro documentó en 2024 que la infraestructura de descarga del grupo, alojada en servidores WebDAV, rotaba los documentos señuelo y el malware en ventanas de apenas 24 horas, lo que sugiere operaciones altamente dirigidas, con buen ritmo y con una logística de campaña notablemente afinada. Además del phishing, Mustang Panda ha abusado de cuentas de correo comprometidas, servicios de marketing legítimos como SMTP2Go y plataformas como Google Drive y Dropbox para alojar archivos maliciosos. Prácticamente la totalidad de las campañas arrancan en una bandeja de entrada.

En cuanto al toolset de esta APT, Mustang Panda ha desarrollado y utilizado el gusano HIUPAN, que se propaga a través de dispositivos extraíbles (USB). HIUPAN se copia a sí mismo y a su payload asociado, típicamente PUBLOAD, en el directorio raíz de cualquier unidad extraíble conectada, oculta todos los archivos y carpetas originales del dispositivo y deja únicamente visible un ejecutable con un nombre atractivo (como UsbConfig.exe). Cuando una víctima conectaba la unidad y pincha en el archivo visible, creyendo que es el contenido que esperaba encontrar, el gusano infecta el nuevo host y reinicia el ciclo. Esta capacidad de saltar redes air-gapped y entornos con conectividad restringida es un rasgo diferencial.

El arsenal de malware de Mustang Panda es un almacén con una gran cantidad de opciones y todas con el sello de Xi Jinping. Uno de los más relevantes es el PlugX, un RAT modular utilizado por múltiples APT del gigante asíatico y que el grupo ha modificado infinidad de veces. Proofpoint documentó en 2020 un loader de PlugX reescrito en Golang, un movimiento que ilustra la capacidad del grupo para actualizar su toolset cuando la investigación abierta lo deja demasiado expuesto. El malware más distintivo del grupo, sin embargo, es TONESHELL, un backdoor modular que se carga mediante DLL side-loading en procesos legítimos, e incluye capacidades de keylogging, captura de pantalla, ejecución de comandos y transferencia de archivos.

En campañas más recientes, el grupo ha incorporado ShadowPad, considerado por algunos vendors como la evolución de PlugX, el backdoor CBROVER, los downloaders DOWNBAIT y PULLBAIT, así como herramientas complementarias como FDMTP y PTSOCKET.

En su fase de evasión, Mustang Panda ha combinado gran variedad de técnicas, su método principal es el DLL side-loading en el que se aprovecha de programas firmados y de confianza (Adobe, Notepad++, Bitdefender...). Además enlaza los payloads a cada víctima, oculta su tráfico de mando y control, camufla los archivos como del sistema, y limita la infección por ubicación geográfica. En lo refrente a la exfiltración, comprime los datos y los envía a servidores propios o a servicios en la nube como Dropbox, 1fichier o OneDrive, mezclando el tráfico malicioso con el uso normal. En redes sin internet, roba la información físicamente mediante USB.