Компания #ESET отслеживает #APT кампании кибершпионажа от i-SOON (Anxun) как #FishMonger, которая использует характерные для китайских хакерских группировок инструменты #ShadowPad, #Spyder и #SodaMaster.

К счастью, лоадеры последнего были загружены на #Malware Bazaar, что позволило мне их скачать и просмотреть. В целом, ничего особенного, традиционно используется DLL Side Loading вкупе со сложной цепочкой запуска: DllEntryPoint => dllmain_dispatch => DllMain => %Changing execution flow of legitimate signed EXE% => ServiceMain => ThreadStartAddress.

Кроме того, вредоносная программа использует технику Process Hollowing и недокументированную функцию NtCreateThreadEx в попытке обойти средства защиты информации.

Жаль, что ESET не смогли извлечь сами пейлоады (они хранятся на диске отдельно от лоадера в зашифрованном виде), было бы интересно взглянуть на их код, чтобы понять используемые техники.