CLEANTOAD

APT38 (Advanced Persistent Threat) er tilbage i nyheden med et nyt hackingværktøj kaldet CLEANTOAD. Denne hackinggruppe er også kendt som Lazarus og opererer fra Nordkorea. Det antages, at APT38-gruppen er sponsoreret af den nordkoreanske regering og gennemfører hackingkampagner på deres vegne. Denne hacking-gruppe opererer på et meget højt niveau, og nogle af dets medlemmer er ønsket af FBI.

Stille operationer

De fleste af APT38's kampagner er motiverede økonomisk, og deres mål er tendens til at være banker og forskellige andre finansielle institutioner. APT38-gruppen er temmelig tålmodig, når den opererer, og det er kendt at tage sin tid og udføre angreb over lange perioder. Dette hjælper den truende aktivitet med at forblive under radaren for deres mål i længere tid. APT38-gruppens kampagner leverer ofte flere nyttelast med forskellige muligheder for at fuldføre angrebet. Et af hackingværktøjerne, som undertiden bruges som en sekundær nyttelast, er CLEANTOAD malware.

Renser spor af skadelig aktivitet

Når man holder øje med aktiviteten i hackinggruppen APT38, har cybersecurity-eksperter bemærket, at CLEANTOAD-truslen ofte bruges, efter at gruppen har indsat et andet værktøj kaldet BLINDTOAD. Det betyder dog ikke, at CLEANTOAD malware kun bruges i kombination med BLINDTOAD-truslen nødvendigvis, da angrebene kan bruge den unisont med en række hackingværktøjer. CLEANTOAD-malware bruges til at rense nogle af sporene efter usikker aktivitet, som kan være tilbage efter en operation. Denne trussel indsprøjter sin beskadigede kode ved hjælp af en avanceret shellcode-metode til en proces kaldet 'notepad.exe.' Denne metode reducerer chancerne for, at APT38-gruppens aktivitet bliver opdaget af dens ofre eller et anti-malware-værktøj.

Capabilities

CLEANTOAD malware er i stand til:

• Tør ud af Windows Event Logs.
• Skift Windows-registeringstaster, der var foruddefineret.
• Slet eller overskriv filer, der har været en del af den ondsindede kampagne.
• Stop eller slet Windows Services.
• Indlæs en konfigurationsfil, der er ansvarlig for at indstille dato og tid, når truslen skal køre.

APT38-hackinggruppen er kendt for at lægge stort arbejde i deres truende operationer, som ofte involverer spionage og indsamling af store summer. De har et meget stort arsenal af hackingværktøjer, og en trussel som CLEANTOAD malware sørger for, at den er i stand til at gennemføre sine kampagner over længere perioder, således at indsamle mere følsomme data og forårsage større skade på dens mål.