Larva-24005 est un acteur malveillant qui pirate des serveurs en Corée pour mettre en place un serveur web et un environnement PHP en vue d'attaques de phishing, ciblant principalement des individus liés à la Corée du Nord et des professeurs d'université effectuant des recherches sur le régime. Ils exploitent la vulnérabilité BlueKeep pour l'accès initial et utilisent RDPWrap ainsi qu'un keylogger personnalisé après la compromission. Les e-mails de phishing sont conçus pour ressembler à des communications légitimes, contenant souvent des URL malveillantes ou des fichiers compressés. L'acteur a été observé stockant des pages de phishing dans le compte IIS_USER et le dossier home de XAMPP, bien que les traces de ces pages aient été ultérieurement supprimées.
References
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).