Malware ScanBox
Pesquisadores de segurança da Proofpoint publicaram suas descobertas em uma longa campanha de espionagem conduzida por um agente de ameaças chinês. O grupo usou uma ferramenta maliciosa chamada ScanBox.
O agente da ameaça por trás da campanha ScanBox teve como alvo entidades na Ásia, Europa e Austrália e as vítimas incluem entidades governamentais, meios de comunicação e empresas industriais. Os pesquisadores acreditam que o ataque foi conduzido pelo agente da ameaça conhecido sob os pseudônimos APT40 e Leviathan.
O malware ScanBox foi distribuído usando e-mails maliciosos que se apresentavam como avisos de licença médica ou solicitações de cooperação. Os atores maliciosos possuíam e operavam o domínio usado nos ataques, pertencente a uma empresa de mídia falsa chamada "Australian Morning News". Os e-mails às vezes continham um link para o site controlado por hackers sob o pretexto de que as vítimas poderiam compartilhar conteúdo para publicação.
O ScanBox usa JavaScript e pode fornecer mais cargas maliciosas. O malware também carrega plugins dentro do navegador da vítima que permitem o registro de pressionamentos de tecla, comunicação entre sistemas comprometidos e verificação de software antivírus instalado.
Ataques posteriores usando o ScanBox se basearam em documentos de escritório maliciosos que desencadeariam uma cadeia de infecção em vários estágios, entregando a carga útil do ScanBox.
