CL-STA-1020 cible les réseaux gouvernementaux d'Asie du Sud-Est, en employant des URL de fonctions AWS Lambda configurées avec AuthType: NONE pour des communications de commande et de contrôle furtives. L'acteur a été observé en train de collecter des informations sensibles auprès d'entités gouvernementales, notamment des données sur les tarifs douaniers et les différends commerciaux. Une enquête a révélé une nouvelle porte dérobée Windows nommée HazyBeacon, qui exploite cette technique de C2 inédite. Ce groupe d'activités a démontré des efforts considérables pour rester indétecté tout en menant ses opérations.
Références
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).