Nordkoreanische Hacker enthüllen die Goldbackdoor-Malware

Nordkoreas Hacking-Gruppen gehören zu den berüchtigtsten Organisationen der Cyberkriminalität der Welt. Die meisten ihrer Angriffe sind entweder finanziell oder politisch motiviert. Eine der neuesten Payloads, die sie verwenden, heißt Goldbackdoor Malware und scheint seit März im Einsatz zu sein. In den letzten zwei Monaten wurde die Goldbackdoor-Malware weltweit bei Angriffen auf Journalisten eingesetzt, und der Hauptzweck der Kampagne ist Datendiebstahl. Aufgrund der Eigenschaften der Goldbackdoor-Malware können die Kriminellen jedoch auch andere Aufgaben ausführen.

Es wird angenommen, dass die wahrscheinlichen Schuldigen hinter der Goldbackdoor-Malware-Operation eine Advanced Persistent Threat (APT)-Gruppe sind, die unter dem Alias APT37 verfolgt wird. Sie sind auch unter dem Namen ScarCruft bekannt. Die neu identifizierte Goldbackdoor-Malware wurde von kompromittierten Systemen südkoreanischer Journalisten wiederhergestellt und scheint Ähnlichkeiten mit früherer ScarCruft-Malware wie Bluelight zu haben.

Opfer der Goldbackdoor-Malware werden anscheinend über raffiniert gestaltete Spear-Phishing-E-Mails angesprochen, die aktuelle Trends und Themen betreffen, um die Wahrscheinlichkeit zu erhöhen, dass das Opfer auf den Köder hereinfällt. Darüber hinaus scheinen die Hacker legitime E-Mail-Konten kompromittiert zu haben, um ihre Spam-Kampagne glaubwürdiger zu machen. Eine der Nachrichten, die den Goldbackdoor-Malware-Anhang enthielt, wurde von der persönlichen E-Mail eines ehemaligen Direktors des National Intelligence Service of South Korea gesendet.

Was die Nutzlast betrifft, so ist sie auf öffentliche Cloud-Hosting-Dienste angewiesen, um Daten zu exfiltrieren und Befehle von ihnen zu erhalten. Einige der legitimen Dienste, auf die Goldbackdoor Malware angewiesen ist, sind Microsoft Azure, OneDrive, Google Docs und Graph-APIs. Angriffe dieser Art sind äußerst gefährlich, da Firewall-Dienstprogramme möglicherweise nicht in der Lage sind, den schädlichen Datenverkehr abzufangen. Ein seriöses Antivirus-Produkt sollte jedoch immer noch ausreichen, um die Goldbackdoor-Malware zu beenden.