Malsmoke cible principalement les utilisateurs japonais au moyen de campagnes de publicité malveillante (malvertising) qui diffusent le logiciel malveillant Zloader, exploitant souvent des leurres de contenu pour adultes et des informations géographiques sur les adresses IP. Le groupe est passé des kits d'exploitation, tels que Fallout, à des tactiques d'ingénierie sociale, notamment de fausses mises à jour Java, tout en conservant son intérêt pour les sites web pour adultes à fort trafic. Ses opérations se caractérisent par l'utilisation d'un DGA pour les domaines de serveurs C2 et par la distribution de charges utiles via un chargeur sur mesure, s'appuyant auparavant sur Smoke Loader. Les liens avec des campagnes passées sont manifestes au travers de similitudes dans les logiciels malveillants se faisant passer pour des plugins Java et d'informations de registraire communes entre les domaines.
Références
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).