ScanBox-Malware
Sicherheitsforscher von Proofpoint veröffentlichten ihre Ergebnisse zu einer langen Spionagekampagne, die von einem chinesischen Bedrohungsakteur durchgeführt wurde. Die Gruppe verwendete ein bösartiges Tool namens ScanBox.
Der Bedrohungsakteur hinter der ScanBox-Kampagne zielte auf Unternehmen in Asien, Europa und Australien ab, und zu den Opfern gehören Regierungsbehörden, Medien und Industrieunternehmen. Die Forscher glauben, dass der Angriff von dem unter den Aliasnamen APT40 und Leviathan bekannten Bedrohungsakteur durchgeführt wurde.
Die ScanBox-Malware wurde über bösartige E-Mails verbreitet, die sich als Krankmeldungen oder Kooperationsaufforderungen ausgaben. Die böswilligen Akteure besaßen und betrieben die bei den Angriffen verwendete Domain, die einem gefälschten Medienunternehmen namens „Australian Morning News“ gehörte. Die E-Mails enthielten manchmal einen Link zu der von Hackern kontrollierten Website unter dem Vorwand, dass die Opfer Inhalte zur Veröffentlichung freigeben könnten.
ScanBox verwendet JavaScript und kann weitere schädliche Payloads liefern. Die Malware lädt auch Plugins in den Browser des Opfers, die das Protokollieren von Tastenanschlägen, die Kommunikation zwischen kompromittierten Systemen und die Suche nach installierter Antivirensoftware ermöglichen.
Spätere Angriffe mit ScanBox stützten sich auf schädliche Office-Dokumente, die eine mehrstufige Infektionskette auslösten und schließlich die ScanBox-Nutzlast lieferten.
