Onderzoekers van antivirusbedrijf ESET hebben spionagemalware ontdekt die allerlei gegevens van systemen steelt en slachtoffers via de locatiedienst van Mozilla probeert te lokaliseren (pdf). De groep achter de aanvallen en gebruikte malware wordt Machete genoemd en is al jaren actief.

Bij de laatste aanvallen zou de groep zich op het Venezolaans leger richten. Om slachtoffers te infecteren maakt Machete gebruik van e-mailbijlagen. De e-mails bevatten een LNK-bestand, zip-bestand of een archiefbestand dat zichzelf kan uitpakken. Zodra slachtoffers de bijlage openen wordt er als afleidingsmanoeuvre een vertrouwelijk militair document getoond dat bij een eerdere aanval is buitgemaakt.

In de achtergrond is de malware echter actief. Die kan screenshots maken en toetsaanslagen opslaan, het clipboard benaderen, documenten, back-ups, PGP-sleutels en bestanden voor geografische informatiesystemen stelen, gebruikersprofielen uit verschillende browsers uitlezen en de geolocatie van het slachtoffer bepalen.

De malware verzamelt informatie over wifi-netwerken in de buurt van het slachtoffer en stuurt die naar de Mozilla Location Service. Via deze dienst is het mogelijk om aan de hand van wifi-netwerken, bluetooth-beacons en zendmasten iemands locatie te bepalen. "Het voordeel van de Mozilla Location Service is dat het geolocatie zonder een daadwerkelijk GPS biedt en nauwkeuriger dan andere methodes kan zijn", aldus de onderzoekers.

Wat ook opvalt aan de malware is dat die over een optie voor "fysieke gegevensexfiltratie" beschikt. De malware controleert of aangesloten usb-sticks over een specifieke bestandsnaam beschikken. Wanneer dit het geval is worden gegevens van het systeem naar een verborgen map op de usb-stick gekopieerd. "Dit is een manier om data te stelen in het geval een aanvaller fysieke toegang heeft tot een computer die al met Machete is besmet", voegen de onderzoekers toe.

Volgens ESET zijn er via de malware mogelijk gigabytes aan vertrouwelijke data gestolen. Wie erachter de aanvallen zit is onbekend. Naast Venezuela is de malware ook in Ecuador, Colombia en Nicaragua aangetroffen. Afsluitend laakt de virusbestrijder de aangevallen organisaties, die er niet in zijn geslaagd om het bewustzijn van hun gebruikers te verhogen en security-policies toe te passen zodat medewerkers in de eerste plaats niet in deze aanvallen trappen.