Logtu Malware som används vid attacker mot östeuropeiska enheter

Säkerhetsforskare publicerade en rapport om en serie cyberattacker riktade mot militära industriella enheter i Östeuropa och Afghanistan. Attackerna ägde rum redan i januari 2022 och är kopplade till en kinesisk hotaktör som går av beteckningen TA428.

Cyberattackerna riktade sig mot militära industrianläggningar och forskningsanläggningar i Ryssland, Vitryssland, Ukraina och Afghanistan. Attackerna använde flera olika skadliga verktyg, varav ett kallades Logtu av forskargruppen.

Skadlig programvara är ett multifunktionsverktyg som distribueras på samma sätt som andra bakdörrsverktyg som används av TA428. De senaste versionerna av Logtu använder dynamisk import och använder XOR-kryptering för dess funktionsnamn för att göra upptäckten svårare.

Medan andra bakdörrsverktyg som tillskrivs TA428 använder processurholkning av en systemprocess, distribueras Logtu med samma metod men kapar och urholkar en process som tillhör någon annan legitim applikation som körs på systemet och laddar in ett skadligt bibliotek i det.

Skadlig programvara från Logtu stöder ett brett utbud av kommandon som inkluderar kontroll av drifttid, radering av filer, skrivning av data till filer, ta skärmdumpar och både start och avslutning av processer.