ToddyCat 脅威グループが被害ネットワークへのバックアップトラフィックトンネルを設定する方法 from csoonline.com

ToddyCat マルウェアは、侵害されたシステム上でリモート VPN 接続を設定するために使用されていることが判明しました。
攻撃者は、Windows 用 OpenSSH ツールキットの SSH クライアントと、エンドポイントがサーバーに対して認証できるようにする秘密キーファイルを使用しました。
a.bat というスクリプトにより、フォルダーのディレクトリ所有権が変更され、通常のユーザーと管理者のみがアクセスできるようになりました。
さらに、攻撃者のexecute.bbatコマンドによりディレクトリの所有権が変更され、通常のusers.nnl.net.msp.cnへのアクセスが防止されます。