Cyber Breaches

BlackTech est un groupe de cyberespionnage opérant contre des cibles en Asie de l'Est, en particulier à Taïwan, et occasionnellement au Japon et à Hong Kong. D'après les mutex et les noms de domaine de certains de leurs serveurs C&C, les campagnes de BlackTech sont vraisemblablement conçues pour dérober la technologie de leurs cibles. Le suivi de leurs activités et de l'évolution de leurs tactiques et techniques nous a permis de mettre au jour le proverbial fil rouge du destin reliant trois campagnes en apparence disparates : PLEAD, Shrouded Crossbow et, plus récemment, Waterbear. PLEAD est une campagne de vol d'informations ayant un penchant pour les documents confidentiels. Active depuis 2012, elle a jusqu'à présent ciblé des agences gouvernementales et des organisations privées taïwanaises. La panoplie d'outils de PLEAD comprend la porte dérobée éponyme PLEAD et l'outil d'exfiltration DRIGO. PLEAD utilise des courriels de harponnage pour diffuser et installer leur porte dérobée, soit en pièce jointe, soit via des liens vers des services de stockage cloud. Certains des comptes de stockage cloud utilisés pour diffuser PLEAD servent également de points de dépôt pour les documents exfiltrés dérobés par DRIGO. Les acteurs de PLEAD utilisent un outil de balayage de routeurs pour rechercher des routeurs vulnérables, après quoi les attaquants activent la fonctionnalité VPN du routeur puis enregistrent une machine en tant que serveur virtuel. Ce serveur virtuel sera utilisé soit comme serveur C&C, soit comme serveur HTTP diffusant le logiciel malveillant PLEAD à leurs cibles.

Également connu sous le nom de

CIRCUIT PANDA, Temp.Overboard, HUAPI, Palmerworm, G0098, T-APT-03, Manga Taurus, Red Djinn, Earth Hundun, Canary Typhoon, Mobwork.

Références

Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).