SparklingGoblin Nieuwe APT richt zich op entiteiten in Noord-Amerika
Na onderzoek te hebben gedaan en een andere onderzoeksmethode te hebben gevolgd, lijken beveiligingsonderzoekers een gloednieuwe dreigingsactor in het digitale landschap tegen te komen. De nieuwe APT of active persistent threat actor wordt door onderzoekers SparklingGoblin genoemd. De activiteit was terug te voeren op aanvallen gericht op instellingen en bedrijven in Noord-Amerika.
SparklingGoblin is een nieuwe APT, maar volgens de tot nu toe uitgevoerde observaties en onderzoek lijkt het verband te houden met een andere bekende dreigingsactor. De entiteit die is gekoppeld aan SparklingGoblin is gecodificeerd als APT41 en staat bekend onder verschillende namen, waaronder Wicked Panda en Winnti Group. Onderzoekers geloven dat Winnti Group een bedreigingsacteur is die vanuit China opereert, gesponsord door de regering van het land.
De link tussen de twee APT's werd voornamelijk gevonden in de infiltratietoolkit die ze allebei gebruiken. SparklingGoblin werd gevonden met behulp van een nieuwe backdoor die lijkt op een backdoor-tool die in het verleden door Winnti Group werd gebruikt.
Het nieuwe exemplaar van de malware die door SparklingGoblin wordt gebruikt, heet SideWalk en er zijn een aantal overeenkomsten tussen het en een oudere tool die bekend is bij onderzoekers, CrossWalk genaamd, die in het verleden door Winnti Group werd gebruikt. Dit was een van de belangrijkste indicatoren dat de twee APT's met elkaar verbonden zijn, evenals het feit dat ze allebei de Chinese taal gebruiken.
Onderzoekers waren niet specifiek op zoek naar de nieuwe dreigingsactor. Ze waren oorspronkelijk bezig met een onderzoek naar de activiteiten van Winnti Group, maar kwamen een malware-voorbeeld tegen dat hen erop wees dat dit een nieuwe entiteit was. Ze vonden een malware-exemplaar dat net als CrossWalk van Winnti Group was verpakt en zich op een vergelijkbare manier gedroeg, waarbij shellcode werd uitgevoerd met behulp van opdrachten die werden ontvangen van een opdracht- en controleserver.
Er was echter één belangrijk verschil. De SideWalk-tool van SparklingGoblin gebruikte een andere variant van de PlugX-malware, door onderzoekers Korplug genoemd. Het was ook in staat om Google Docs-cloudservers te gebruiken als dead-drop-locatie voor zijn payload.
Eenmaal geïmplementeerd op een systeem, gebruikt SideWalk procesuitholling om zijn kwaadaardige code te injecteren, die al door de achterdeur is gedecodeerd. De SparklingGoblin-bende die de achterdeur bedient, is na het verzamelen van informatie van de systemen die het infiltreert, aldus onderzoekers. De doelwitten in Noord-Amerika waren tot dusver Canadese scholen en een in de VS gevestigde verkoper van computers.
