Logtu
Logtu — одна из шести вредоносных программ, развернутых в рамках серии атак на государственные учреждения и военные предприятия в нескольких странах Восточной Европы, а также в Афганистане. Эти кампании угроз приписываются поддерживаемой Китаем группе APT (Advanced Persistent Threat), отслеживаемой исследователями кибербезопасности как TA428. По словам исследователей, злоумышленникам удалось скомпрометировать десятки целей. Хакеры даже завладели ИТ-инфраструктурой некоторых из своих жертв, получив контроль над системами, предназначенными для управления решениями безопасности.
TA428 создал специальные электронные письма-приманки для целевого фишинга, содержащие данные, относящиеся к целевому объекту. В некоторых случаях злоумышленники даже включали информацию, которой нет в открытом доступе, что свидетельствует о их намерении взломать организацию. Хакеры могли собрать данные о предыдущих атаках на цель или ее сотрудников, а также о скомпрометированных компаниях, тесно сотрудничающих с выбранными жертвами. Фишинговые электронные письма содержат документы Microsoft Word, которые могут использовать уязвимость CVE-2017-11882 для выполнения произвольных код.
Логту Подробнее
Logtu входит в число шести вредоносных программ, которые были исключены TA428. Эта угроза наблюдалась в предыдущих атаках, которые, как считается, были совершены той же APT-группой. Угроза претерпела значительные изменения: последние версии удалось избежать обнаружения за счет использования динамического импорта и зашифрованных имен функций XOR. В рамках своего развертывания на взломанном устройстве Logtu использует метод очистки процессов, который загружает поврежденную библиотеку в законный программный процесс, а не в системный.
После полной активации Logtu может выполнять широкий спектр интрузивных функций. Он может записывать данные в выбранные файлы, удалять файлы, получать и удалять информацию о файлах, запускать программы и создавать процессы, делать снимки экрана, получать список зарегистрированных служб и запускать определенные службы и многое другое. Угроза в основном связана с получением определенных наборов данных, указывающих на то, что целью атак является кибершпионаж.
