中國駭客Mustang Panda鎖定圖博而來，散布惡意軟體Pubload、Pubshell

中國駭客鎖定圖博人士從事攻擊的情況，不時有資安事故傳出，如今駭客利用達賴喇嘛90歲生日即將來到的時間點，鎖定近期舉行的會議與相關議題為誘餌，從事網路攻擊。

其中一組名為Mustang Panda、Hive0154、RedDelta、Earth Preta、TA416的中國駭客，從今年5月鎖定圖博社群下手的情況升溫。揭露此事的IBM X-Force研究人員表示，駭客利用幾種誘餌來發動攻擊，其中一種是在6月2日至4日於日本東京舉行的第9屆世界國會議員圖博大會（World Parliamentarians' Convention on Tibet，WPCT），但也有利用中國政府在西藏自治區（TAR）的教育政策，以及達賴喇嘛發表的新書《Voice for the Voiceless》當誘餌的情況。

研究人員指出，他們先前曾看到這些駭客從2024年底至今年初鎖定臺灣、美國、菲律賓、巴基斯坦從事網路間諜活動。而這次駭客也與之前接觸受害者的方式雷同，都是寄送各種地緣政治主題的釣魚郵件，並引誘他們上當。這郵件通常含有Google Drive的連結，一旦收信人點選，電腦就會下載ZIP或RAR壓縮檔。

這些壓縮檔內含可用於DLL側載攻擊的執行檔，以及名為Claimloader的惡意DLL檔案。若是收信人依照指示開啟執行檔，就會載入DLL檔案觸發感染鏈。Claimloader主要的功能是讓駭客持續在受害電腦活動，並解密後門程式Pubload的有效酬載，然後注入在記憶體內執行。此後門程式將下載名為Pubshell的模組，目的是利用反向Shell建立存取管道。

雖然這波攻擊主要是針對圖博行政中央而來，但研究人員後續也發現鎖定美國海軍的誘餌，其內容疑似討論美國海軍與其他組織之間正在進行的合作事項。