Gli hacker nordcoreani rivelano il malware Goldbackdoor
I gruppi di hacker della Corea del Nord sono tra le organizzazioni di criminalità informatica più famose al mondo. La maggior parte dei loro attacchi è motivata finanziariamente o politicamente. Uno degli ultimi payload che utilizzano si chiama Goldbackdoor Malware e sembra essere in uso da marzo. Negli ultimi due mesi, il malware Goldbackdoor è stato impiegato in attacchi contro giornalisti in tutto il mondo e lo scopo principale della campagna è il furto di dati. Tuttavia, è possibile che i criminali svolgano altre attività a causa della natura delle funzionalità di Goldbackdoor Malware.
Si ritiene che i probabili colpevoli dietro l'operazione Goldbackdoor Malware siano un gruppo Advanced Persistent Threat (APT) tracciato con lo pseudonimo di APT37. Sono anche conosciuti con il nome di ScarCruft . Il malware Goldbackdoor appena identificato è stato recuperato da sistemi compromessi di giornalisti sudcoreani e sembra condividere somiglianze con il precedente malware ScarCruft come Bluelight.
Le vittime del malware Goldbackdoor sembrano essere avvicinate tramite e-mail di spear-phishing abilmente predisposte, che riguardano le tendenze e gli argomenti attuali per rendere più probabile che la vittima cada nell'esca. Inoltre, sembra che gli hacker abbiano compromesso account di posta elettronica legittimi per rendere più credibile la loro campagna di spam. Uno dei messaggi contenenti l'allegato Goldbackdoor Malware è stato inviato dall'e-mail personale di un ex direttore del National Intelligence Service della Corea del Sud.
Per quanto riguarda il carico utile, si basa su servizi di hosting su cloud pubblico per esfiltrare i dati e ricevere comandi. Alcuni dei servizi legittimi su cui si basa Goldbackdoor Malware sono Microsoft Azure, OneDrive, Google Docs e Graph API. Gli attacchi di questo tipo sono eccezionalmente pericolosi, poiché le utilità del firewall potrebbero non essere in grado di catturare il traffico dannoso. Tuttavia, un prodotto antivirus affidabile dovrebbe comunque essere sufficiente per terminare il malware Goldbackdoor.
