BRONZE VAPOR est un groupe de menace ciblé évalué avec un niveau de confiance modéré comme étant d'origine chinoise. Les artefacts issus d'outils associés à ce groupe et les rapports en source ouverte sur des incidents connexes indiquent que BRONZE VAPOR opère depuis au moins 2017. Le groupe mène des opérations d'espionnage contre de multiples secteurs, notamment les semi-conducteurs, l'aviation et les télécommunications. Les chercheurs de la CTU estiment que l'intention de BRONZE VAPOR est le vol d'informations, ses opérations étant axées sur la propriété intellectuelle (semi-conducteurs) et les informations personnelles identifiables telles que les dossiers de voyageurs (aviation). La compromission d'entreprises de télécommunications peut fournir des informations personnelles identifiables et des métadonnées sur les communications des clients, telles que les relevés détaillés d'appels (Call Data Records, CDR).
Avant 2019, leur focalisation opérationnelle, à quelques exceptions près, tournait autour de cibles en Asie de l'Est, en particulier Taïwan et son industrie florissante des semi-conducteurs. En 2021, des détails ont émergé en source ouverte concernant des attaques contre au moins une entreprise européenne de semi-conducteurs, qui remonteraient à 2017. En 2019, BRONZE VAPOR a attaqué une ou plusieurs entités du secteur aérien européen. Le groupe obtient l'accès initial via des services VPN, peut recourir au harponnage avec des leurres sur le thème de « Letter of Appointment » (lettre de nomination), et déploie Cobalt Strike ainsi que des outils d'exfiltration de données sur mesure pour cibler des organisations. L'activité post-intrusion implique du living-off-the-land au moyen d'outils et de commandes légitimes disponibles dans l'environnement de la victime, ainsi que l'utilisation d'AceHash pour la récolte d'identifiants, de WATERCYCLE pour l'exfiltration de données et de STOCKPIPE pour relayer des informations via des serveurs Microsoft Exchange par courriel.
BRONZE VAPOR utilise un ensemble de tactiques qui, bien que n'étant pas individuellement uniques, créent une fois agrégées un mode opératoire relativement distinct. Les intrusions débutent par des attaques fondées sur les identifiants contre une solution d'accès à distance existante (Citrix, VPN, etc.) ou un accès réseau B2B. Cobalt Strike est déployé dans l'environnement, puis l'accès est approfondi via Cobalt Strike Beacon et d'autres fonctionnalités de la plateforme. Sharphound est déployé pour cartographier l'infrastructure Active Directory de la victime et collecter des informations critiques sur le domaine, dont les noms de comptes importants. L'infrastructure de commande et de contrôle est hébergée sur des sous-domaines des services Azure et Appspot afin de se fondre dans le trafic légitime. L'acteur de la menace enregistre également ses propres domaines pour la commande et le contrôle, souvent sur un thème lié à « sync » ou « update ». WinRAR est couramment utilisé pour compresser les données avant exfiltration. Les noms de fichiers de ces archives comportent souvent une chaîne de chiffres et des variantes du mot « update ». Les données sont exfiltrées à l'aide de WATERCYCLE vers des plateformes cloud telles que OneDrive et GoogleDrive.
Références
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).