Связанная с Китаем группа UNC6384, более известная как Mustang Panda, развернула масштабную кибершпионскую операцию против европейских дипломатических и правительственных структур. По данным Arctic Wolf и StrikeReady, атакующие эксплуатируют неисправленную уязвимость в обработке Windows-ярлыков — CVE-2025-9491 — для скрытой доставки вредоносного ПО PlugX и дальнейшего контроля над системами.
География и вектор атак: дипломатические ведомства под прицелом
Кампания зафиксирована в Венгрии, Бельгии, Италии, Нидерландах и Сербии в период с сентября по октябрь 2025 года. Первичный вектор — таргетированные фишинговые письма с URL-ссылками на LNK-файлы, замаскированные под темы НАТО (воркшопы по оборонным закупкам), встречи Еврокомиссии по пограничному контролю и иные многосторонние дипломатические мероприятия. Такой контент повышает конверсию фишинга и усложняет выявление на этапе почтовых шлюзов.
Технический разбор: CVE-2025-9491 и цепочка компрометации
CVE-2025-9491 (CVSS 7.0) — уязвимость в обработке Windows-ярлыков, позволяющая злоумышленникам скрывать вредоносные аргументы командной строки внутри .LNK с помощью пробельных отступов в структуре COMMAND_LINE_ARGUMENTS. При открытии ярлыка инициируется исполнение произвольного кода без явных индикаторов для пользователя.
В наблюдаемых атаках открытие LNK запускает команду PowerShell, которая декодирует и извлекает содержимое TAR-архива, одновременно демонстрируя PDF-приманку. Архив включает легитимную утилиту Canon Printer Assistant, вредоносную DLL CanonStager и зашифрованный пейлоад PlugX (файл cnmplog.dat). Загрузка реализуется через DLL side-loading, когда доверенное приложение подхватывает «подменённую» библиотеку.
PlugX: функциональность и стойкость
PlugX (известен также как Destroy RAT, Kaba, Korplug, SOGU, TIGERPLUG) предоставляет атакующим полный удалённый доступ: выполнение команд, кейлоггинг, загрузка/выгрузка файлов, закрепление в системе через модификацию реестра и масштабная разведка. Модульная архитектура позволяет расширять функции плагинами, а встроенные антиотладочные и антианалитические механизмы усложняют статический и динамический анализ.
Эволюция TTP: минимизация следов и HTA-доставка
Аналитики отмечают ускоренную доработку инструментов. Размер артефактов CanonStager снизился с ~700 КБ до ~4 КБ, что указывает на целенаправленную оптимизацию и попытки уменьшить поверхность детектирования. С начала сентября группа также использует HTML Application (HTA)-файлы для загрузки JavaScript, который извлекает полезную нагрузку с поддомена cloudfront[.]net, добавляя гибкость доставке пейлоудов.
Почему угрозе не поставлена точка: уязвимость без патча
Проблема CVE-2025-9491 существует минимум с 2017 года и широко эксплуатируется различными группами. О масштабной эксплуатации публично сообщили в марте 2025 года специалисты Trend Micro, зафиксировав использование уязвимости как «правительственными» актёрами, так и киберпреступниками (включая Evil Corp, APT43/Kimsuky, Bitter, APT37, Mustang Panda, SideWinder, RedHotel и Konni). Несмотря на это, официальный патч Microsoft отсутствует; компания заявляла о «рассмотрении» исправления, указывая на наличие средств обнаружения в Microsoft Defender и дополнительную защиту через Smart App Control.
Практические рекомендации: как снизить риск прямо сейчас
Ограничьте или заблокируйте использование LNK там, где это возможно (политики WDAC/AppLocker), и запретите HTA (блокировка mshta.exe, правила Attack Surface Reduction). Усильте почтовую защиту: строгая проверка URL, sandbox для вложений, DMARC/DKIM/SPF. Настройте egress-контроль и блокировку C2-инфраструктуры, описанной исследователями.
Расширьте детектирование: мониторинг необычных запусков PowerShell из ярлыков, появления TAR-распаковок и запуска легитимных приложений Canon из нетипичных каталогов, попыток DLL side-loading. Включите телеметрию EDR, примените Constrained Language Mode для PowerShell, минимизируйте привилегии локальных администраторов. Регулярно обновляйте средства защиты, обучайте сотрудников распознаванию фишинга и ведите охоту за угрозами по поведенческим признакам.
Кампания Mustang Panda подтверждает: уязвимости в «обыденных» механизмах Windows, вроде ярлыков LNK, остаются эффективным инструментом шпионажа в отсутствие патча. Организациям следует исходить из предположения о компрометации и строить многоуровневую защиту — от строгой политики запуска и мониторинга сценариев до постоянного обновления правил детектирования и обмена угрозной разведкой. Чем раньше будут усилены процессы и средства контроля, тем ниже вероятность успешной эксплуатации CVE-2025-9491 и проникновения PlugX в инфраструктуру.
