Onderzoekers van Cisco hebben een onbekende Remote Administration Tool (RAT) ontdekt die al 3 jaar door aanvallers wordt gebruikt en allerlei informatie van besmette systemen kan stelen, zoals wachtwoorden, cookies en bestanden. De malware wordt door Cisco KONNI genoemd.

In eerste instantie was de malware alleen in staat om informatie te stelen, zoals toetsaanslagen, maar de ontwikkelaar heeft de afgelopen jaren allerlei nieuwe features toegevoegd. Zo kan de malware nu lokdocumenten en -afbeeldingen tonen, screenshots maken en aanvallers willekeurige code op het systeem laten uitvoeren. Ook worden 64-bit systemen ondersteund. Sinds de malware in 2014 actief werd maken de aanvallers gebruik van de gratis hostingprovider 000webhost voor hun infrastructuur.

De aanvallen beginnen met een e-mail die een src-bestand als bijlage heeft. Als gebruikers de bijlage openen wordt er een lokdocument getoond, terwijl in de achtergrond het systeem besmet raakt. Aan de hand van de gebruikte lokdocumenten stelt Cisco dat de aanvallers het op publieke organisaties hebben voorzien. De gebruikte documenten bevatten gegevens van mensen die werken voor de VN, Unicef en ambassades en organisaties die banden met Noord-Korea hebben.

Wie er achter de malware zit is onduidelijk, maar de laatste aanvallen hebben een gemeenschappelijk thema. "De ontwikkelaar heeft duidelijk interesse in Noord-Korea, aangezien drie van de vier aanvalscampagnes daarmee te maken hebben", zegt onderzoeker Paul Rascagneres. Hij merkt op dat de aanvallers achter KONNI nog steeds actief zijn.