Złośliwe oprogramowanie ScanBox

Badacze bezpieczeństwa z Proofpoint opublikowali swoje odkrycia dotyczące długiej kampanii szpiegowskiej prowadzonej przez chińskiego aktora zajmującego się zagrożeniami. Grupa wykorzystała złośliwe narzędzie o nazwie ScanBox.

Zagrożenia stojące za kampanią ScanBox skierowane do podmiotów w Azji, Europie i Australii, a ofiarami są instytucje rządowe, media i przedsiębiorstwa przemysłowe. Naukowcy uważają, że atak został przeprowadzony przez cyberprzestępcę znanego pod aliasami APT40 i Lewiatan.

Szkodliwe oprogramowanie ScanBox było dystrybuowane za pomocą złośliwych wiadomości e-mail podszywających się pod zawiadomienia o zwolnieniu lekarskim lub prośby o współpracę. Złośliwi aktorzy posiadali i zarządzali domeną wykorzystywaną w atakach, należącą do fałszywej firmy medialnej o nazwie „Australian Morning News”. E-maile zawierały czasami link do strony internetowej kontrolowanej przez hakerów pod pretekstem, że ofiary mogą udostępniać treści do publikacji.

ScanBox wykorzystuje JavaScript i może dostarczać kolejne złośliwe ładunki. Szkodnik ładuje również wtyczki w przeglądarce ofiary, które umożliwiają rejestrowanie naciśnięć klawiszy, komunikację między zaatakowanymi systemami i sprawdzanie zainstalowanego oprogramowania antywirusowego.

Późniejsze ataki przy użyciu ScanBox opierały się na złośliwych dokumentach biurowych, które uruchamiały wieloetapowy łańcuch infekcji, ostatecznie dostarczając ładunek ScanBox.