גורם תקיפה · G0129

MUSTANG PANDA

משויך במקורות לסין. מטרות הפעילות המדווחות: ריגול.

🇨🇳 סין

על גורם התקיפה

This threat actor targets nongovernmental organizations using Mongolian-themed lures for espionage purposes. In April 2017, CrowdStrike Falcon Intelligence observed a previously unattributed actor group with a Chinese nexus targeting a U.S.-based think tank. Further analysis revealed a wider campaign with unique tactics, techniques, and procedures (TTPs). This adversary targets non-governmental organizations (NGOs) in general, but uses Mongolian language decoys and themes, suggesting this actor has a specific focus on gathering intelligence on Mongolia. These campaigns involve the use of shared malware like Poison Ivy or PlugX. Recently, Falcon Intelligence observed new activity from MUSTANG PANDA, using a unique infection chain to target likely Mongolia-based victims. This newly observed activity uses a series of redirections and fileless, malicious implementations of legitimate tools to gain access to the targeted systems. Additionally, MUSTANG PANDA actors reused previously-observed legitimate domains to host files.

תיאור המקור מוצג בשפתו, לצד התקציר בעברית. שיוך מדינתי אינו מעיד בהכרח על מיקום המפעילים או על חסות ממשלתית.

מטרות לפי המקור: Espionage

סקטורים שדווחו: Civil society

מידע נוסף מהמקורות

MITRE ATT&CK

Mustang Panda is a China-based cyber espionage threat actor that has been conducting operations since at least 2012. Mustang Panda has been known to use tailored phishing lures and decoy documents to deliver malicious payloads. Mustang Panda has targeted government, diplomatic, and non-governmental organizations, including think tanks, religious institutions, and research entities, across the United States, Europe, and Asia, with notable activity in Russia, Mongolia, Myanmar, Pakistan, and Vietnam.

Microsoft Threat Intelligence

Microsoft עוקבת אחר פעילות זו בשם Twill Typhoon. השיוך המדינתי ברשימה: סין. כינויים וקבוצות פעילות מקבילות שמופיעים במיפוי: TANTALUM · MUSTANG PANDA · BRONZE PRESIDENT · LuminousMoth. זהו מיפוי של הספק ואינו קובע שכל הכינויים מתארים פעילות זהה.

כלים ונוזקות שדווחו

שימוש שדווח ב־MITRE ATT&CK, כולל כלים לגיטימיים שנוצלו בתקיפות. כלי משותף אינו מעיד על זהות או קשר בין קבוצות.

שיטות פעולה לפי MITRE ATT&CK (85)

טכניקות שדווחו במקור. קישור מוביל להסבר השיטה ב־ATT&CK.

Protocol or Service ImpersonationT1001.003 OS Credential DumpingT1003 LSASS MemoryT1003.001 NTDST1003.003 DCSyncT1003.006 System Network Configuration DiscoveryT1016 Remote System DiscoveryT1018 Obfuscated Files or InformationT1027 Dynamic API ResolutionT1027.007 LNK Icon SmugglingT1027.012 Junk Code InsertionT1027.016 Match Legitimate Resource Name or LocationT1036.005 Double File ExtensionT1036.007 Masquerade File TypeT1036.008 Exfiltration Over C2 ChannelT1041 Network Service DiscoveryT1046 Windows Management InstrumentationT1047 Exfiltration Over Unencrypted Non-C2 ProtocolT1048.003 System Network Connections DiscoveryT1049 Exfiltration over USBT1052.001 Scheduled TaskT1053.005 Process DiscoveryT1057 Command and Scripting InterpreterT1059 PowerShellT1059.001 Windows Command ShellT1059.003 Visual BasicT1059.005 JavaScriptT1059.007 Domain GroupsT1069.002 Indicator RemovalT1070 File DeletionT1070.004 TimestompT1070.006 Web ProtocolsT1071.001 Software Deployment ToolsT1072 Local Data StagingT1074.001 System Information DiscoveryT1082 File and Directory DiscoveryT1083 Domain AccountT1087.002 Replication Through Removable MediaT1091 Non-Application Layer ProtocolT1095 Web ServiceT1102 Ingress Tool TransferT1105 Native APIT1106 Automated CollectionT1119 Shared ModulesT1129 Deobfuscate/Decode Files or InformationT1140 IDE ExtensionsT1176.002 Exploitation for Client ExecutionT1203 Malicious LinkT1204.001 Malicious FileT1204.002 Traffic SignalingT1205 InstallUtilT1218.004 MshtaT1218.005 IDE TunnelingT1219.001 Remote Desktop SoftwareT1219.002 Web ShellT1505.003 Software DiscoveryT1518 Windows Management Instrumentation Event SubscriptionT1546.003 Registry Run Keys / Startup FolderT1547.001 Code SigningT1553.002 Adversary-in-the-MiddleT1557 Archive via UtilityT1560.001 Archive via Custom MethodT1560.003 Hidden Files and DirectoriesT1564.001 Spearphishing AttachmentT1566.001 Spearphishing LinkT1566.002 Exfiltration to Cloud StorageT1567.002 Protocol TunnelingT1572 Symmetric CryptographyT1573.001 DLLT1574.001 Executable Installer File Permissions WeaknessT1574.005 DomainsT1583.001 Web ServicesT1583.006 Email AccountsT1585.002 Email AccountsT1586.002 MalwareT1587.001 ToolT1588.002 Code Signing CertificatesT1588.003 Digital CertificatesT1588.004 Search Open Websites/DomainsT1593 Spearphishing LinkT1598.003 Stage CapabilitiesT1608 Upload MalwareT1608.001 Debugger EvasionT1622 Log EnumerationT1654 Delay ExecutionT1678

מקורות ומחקרים

הפניות מהפרופילים ומפרסומי מחקר. ברשומות ללא כותרת מקורית, שם הקישור נגזר מכתובת הפרסום. תאריך מוצג רק כשזמין.

קשרים שדווחו

קשר, דמיון או חפיפה אינם בהכרח זהות בין הקבוצות. לא נוצרים קשרים רק בגלל כלי משותף או מדינה משותפת.

RedDeltaחפיפה בפעילות לפי המקורמקור: MISP Galaxy

LuminousMothשמות פעילות מקושרים לפי מיפוי הספקמקור: Microsoft

שמות וכינויים מקושרים

BRONZE PRESIDENTHoneyMyteRed LichTEMP.HEXBASINEarth PretaTA416Stately TaurusLuminousMothPolarisTANTALUMTwill TyphoonBASIN CASTLEITG27Hive0154UNK_SteadySplitRedDeltaSTATELY TAURUSFIREANTCAMARO DRAGONEARTH PRETAHIVE0154TWILL TYPHOONLUMINOUS MOTHUNC6384TEMP.HexClumsyToad

לפי המקורות, השמות מתארים פעילות קשורה ועשויים לחפוף רק חלקית.

שיוך מדינתי

🇨🇳 סיןלפי MISP Galaxy

🇨🇳 סיןלפי MITRE ATT&CK

שיוך מפורש בתיאור ATT&CK, בהתאם להערכת המקור.

🇨🇳 סיןלפי Microsoft

ברשימת Microsoft, השם Twill Typhoon משויך לסין. מיפוי שמות בין ספקים עשוי לתאר חפיפה חלקית.

מקורות הפרופיל

MISP Galaxy MITRE ATT&CK (דרך MISP)Microsoft Threat Intelligence

על גורם התקיפה

תיאור המקור מוצג בשפתו, לצד התקציר בעברית. שיוך מדינתי אינו מעיד בהכרח על מיקום המפעילים או על חסות ממשלתית.

מטרות לפי המקור: Espionage

סקטורים שדווחו: Civil society

מידע נוסף מהמקורות

MITRE ATT&CK

Microsoft Threat Intelligence

שמות וכינויים מקושרים

לפי המקורות, השמות מתארים פעילות קשורה ועשויים לחפוף רק חלקית.

שיוך מדינתי

🇨🇳 סיןלפי MITRE ATT&CK

שיוך מפורש בתיאור ATT&CK, בהתאם להערכת המקור.

🇨🇳 סיןלפי Microsoft

ברשימת Microsoft, השם Twill Typhoon משויך לסין. מיפוי שמות בין ספקים עשוי לתאר חפיפה חלקית.

MUSTANG PANDA

על גורם התקיפה

מידע נוסף מהמקורות

כלים ונוזקות שדווחו

מקורות ומחקרים

meet crowdstrikes adversary of the month for june mustang panda

Report2020CrowdStrikeGlobalThreatReport

bronze president

earth preta spear phishing governments worldwide

ta416 goes ground and returns golang plugx malware loader

good bad and web bug ta416 increases operational tempo against european

stately taurus targets philippines government cyberespionage

RW1aFyW

updated cyber threat actor naming system

trapping a mustang panda

מחקר / פרסום של MITRE ATT&CK

mustang panda targets europe

קשרים שדווחו

MUSTANG PANDA

על גורם התקיפה

מידע נוסף מהמקורות

כלים ונוזקות שדווחו

מקורות ומחקרים

meet crowdstrikes adversary of the month for june mustang panda

Report2020CrowdStrikeGlobalThreatReport

bronze president

earth preta spear phishing governments worldwide

ta416 goes ground and returns golang plugx malware loader

good bad and web bug ta416 increases operational tempo against european

stately taurus targets philippines government cyberespionage

RW1aFyW

updated cyber threat actor naming system

trapping a mustang panda

מחקר / פרסום של MITRE ATT&CK

mustang panda targets europe

קשרים שדווחו

MUSTANG PANDA

על גורם התקיפה

מידע נוסף מהמקורות

כלים ונוזקות שדווחו

מקורות ומחקרים

meet crowdstrikes adversary of the month for june mustang panda

Report2020CrowdStrikeGlobalThreatReport

bronze president

earth preta spear phishing governments worldwide

ta416 goes ground and returns golang plugx malware loader

good bad and web bug ta416 increases operational tempo against european

stately taurus targets philippines government cyberespionage

RW1aFyW

updated cyber threat actor naming system

trapping a mustang panda

מחקר / פרסום של MITRE ATT&CK

mustang panda targets europe

קשרים שדווחו