GOFFEE est un acteur malveillant qui cible des entités de la Fédération de Russie depuis début 2022, en utilisant des courriels de harponnage (spear phishing) avec des pièces jointes malveillantes, notamment des versions modifiées d'Owowa et un explorer.exe patché. Ils ont utilisé PowerTaskel, un agent Mythic non public en PowerShell, et ont introduit un nouvel implant appelé « PowerModul » pour des attaques contre des secteurs tels que les médias, les télécommunications et le gouvernement. GOFFEE est de plus en plus passé à un agent Mythic binaire pour les déplacements latéraux et a intégré des documents Word avec des scripts VBA malveillants dans ses chaînes d'infection. Le groupe a démontré une évolution constante de ses TTP tout en conservant des caractéristiques identifiables qui permettent d'attribuer ses campagnes avec un haut degré de confiance.
Références
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).