Logtu
Logtu là một trong sáu mối đe dọa phần mềm độc hại được triển khai như một phần của hàng loạt cuộc tấn công nhằm vào các tổ chức công và doanh nghiệp quân sự ở nhiều quốc gia Đông Âu, cũng như Afghanistan. Các chiến dịch đe dọa này được cho là do một nhóm APT (Mối đe dọa liên tục nâng cao) do Trung Quốc hậu thuẫn được các nhà nghiên cứu an ninh mạng theo dõi là TA428. Theo các nhà nghiên cứu, các tác nhân đe dọa đã có thể xâm nhập hàng chục mục tiêu. Các tin tặc thậm chí còn chiếm lấy cơ sở hạ tầng CNTT của một số nạn nhân của chúng, giành quyền kiểm soát các hệ thống được thiết kế để quản lý các giải pháp bảo mật.
TA428 tạo ra các email thu hút lừa đảo đặc biệt chứa dữ liệu liên quan đến thực thể được nhắm mục tiêu. Trong một số trường hợp, những kẻ tấn công thậm chí còn bao gồm thông tin không được công bố rộng rãi, cho thấy cam kết của họ trong việc xâm phạm tổ chức. Các tin tặc có thể đã thu thập dữ liệu từ các cuộc tấn công trước đó chống lại mục tiêu hoặc nhân viên của nó, cũng như từ các công ty bị xâm nhập làm việc chặt chẽ với các nạn nhân được chọn. Email lừa đảo mang tài liệu Microsoft Word được vũ khí hóa có thể tận dụng lỗ hổng CVE-2017-11882 để thực thi tùy ý mã số.
Chi tiết Logtu
Logtu nằm trong số sáu mối đe dọa phần mềm độc hại bị TA428 loại bỏ. Đây là mối đe dọa được quan sát thấy trong các cuộc tấn công trước đây được cho là do cùng một nhóm APT thực hiện. Mối đe dọa đã trải qua những thay đổi đáng kể, với các phiên bản gần đây tránh bị phát hiện thông qua việc sử dụng nhập động và tên hàm được mã hóa XOR. Là một phần của việc triển khai trên thiết bị bị vi phạm, Logtu sử dụng kỹ thuật làm rỗng quy trình để tải thư viện bị hỏng vào quy trình phần mềm hợp pháp, thay vì quy trình hệ thống.
Sau khi được kích hoạt hoàn toàn, Logtu có thể thực hiện một loạt các chức năng xâm nhập. Nó có thể ghi dữ liệu vào các tệp đã chọn, xóa tệp, lấy và lọc thông tin tệp, khởi chạy chương trình và tạo quy trình, tạo ảnh chụp màn hình, lấy danh sách các dịch vụ đã đăng ký và khởi chạy các dịch vụ được chỉ định và hơn thế nữa. Mối đe dọa chủ yếu liên quan đến việc thu thập các bộ dữ liệu cụ thể hướng tới mục tiêu của các cuộc tấn công là gián điệp mạng.
