ScanBox-malware
Beveiligingsonderzoekers van Proofpoint publiceerden hun bevindingen over een lange spionagecampagne van een Chinese dreigingsactor. De groep gebruikte een kwaadaardige tool genaamd ScanBox.
De dreigingsactor achter de ScanBox-campagne richtte zich op entiteiten in Azië, Europa en Australië en de slachtoffers zijn onder meer overheidsinstanties, media en industriële ondernemingen. Onderzoekers geloven dat de aanval werd uitgevoerd door de dreigingsactor die bekend staat onder de aliassen APT40 en Leviathan.
De ScanBox-malware werd verspreid via kwaadaardige e-mails die zich voordeden als kennisgevingen van ziekteverlof of verzoeken om medewerking. De kwaadwillende acteurs waren eigenaar en beheerder van het domein dat bij de aanvallen werd gebruikt, dat toebehoort aan een nepmediabedrijf genaamd "Australian Morning News". De e-mails bevatten soms een link naar de door hackers gecontroleerde website onder het voorwendsel dat de slachtoffers inhoud zouden kunnen delen voor publicatie.
ScanBox gebruikt JavaScript en kan verdere kwaadaardige payloads leveren. De malware laadt ook plug-ins in de browser van het slachtoffer die toetsaanslagregistratie, communicatie tussen gecompromitteerde systemen en het controleren op geïnstalleerde antivirussoftware mogelijk maken.
Latere aanvallen met ScanBox waren gebaseerd op kwaadaardige kantoordocumenten die een infectieketen in meerdere fasen zouden veroorzaken, wat uiteindelijk de ScanBox-payload zou opleveren.
