Logtu

Logtu är ett av sex skadliga hot som distribueras som en del av en serie attacker mot offentliga institutioner och militära företag i flera östeuropeiska länder, såväl som Afghanistan. Dessa hotfulla kampanjer tillskrivs en kinesisk-stödd APT-grupp (Advanced Persistent Threat) som spåras av cybersäkerhetsforskare som TA428. Enligt forskarna har hotaktörerna kunnat kompromissa med dussintals mål. Hackarna tog till och med över IT-infrastrukturen för några av sina offer, och fick kontroll över system utformade för att hantera säkerhetslösningar.

TA428 skapade speciella e-postmeddelanden om spjutfiske som innehöll data som är relevanta för den inriktade enheten. I vissa fall inkluderade angriparna till och med information som inte är allmänt tillgänglig, vilket tyder på deras engagemang för att bryta mot organisationen. Hackarna kan ha samlat in data från tidigare attacker mot målet eller dess anställda, såväl som från komprometterade företag som arbetar nära med de utvalda offren. Nätfiske-e-postmeddelanden innehåller vapenförsedda Microsoft Word-dokument som kan utnyttja sårbarheten CVE-2017-11882 för att exekvera godtyckligt koda.

Logtu Detaljer

Logtu är bland de sex hot mot skadlig programvara som TA428 släppte. Det är ett hot som observerats i tidigare attacker som tros ha utförts av samma APT-grupp. Hotet har genomgått betydande förändringar, med nya versioner som undviker upptäckt via användning av dynamiska importer och XOR-krypterade funktionsnamn. Som en del av sin utplacering på den brutna enheten använder Logtu en process-urhålningsteknik som laddar ett skadat bibliotek till en legitim mjukvaruprocess, istället för en systemprocess.

När den är helt aktiverad kan Logtu utföra ett brett utbud av påträngande funktioner. Den kan skriva data till valda filer, ta bort filer, erhålla och exfiltrera filinformation, starta program och skapa processer, göra skärmdumpar, få en lista över registrerade tjänster och starta specificerade tjänster och mer. Hotet handlar främst om att få fram specifika uppsättningar data som pekar mot målet med attackerna är cyberspionage.