Une série d'attaques, ciblant à la fois la recherche militaire indienne et des organisations de transport maritime d'Asie du Sud, démontre le niveau d'effort minimal requis pour compromettre une cible avec succès et dérober des informations sensibles. Les attaquants utilisent un logiciel malveillant très simple, qui a nécessité peu de temps de développement ou de compétences, en combinaison avec un hébergement Web disponible gratuitement, pour mettre en œuvre une attaque hautement efficace. Il s'agit d'un cas où les attaquants obtiennent un retour maximal sur leur investissement. L'attaque montre comment un attaquant intelligent n'a pas besoin d'être particulièrement compétent sur le plan technique pour dérober les informations qu'il convoite. L'attaque commence, comme c'est souvent le cas, par un courriel envoyé à la victime. Un document malveillant est joint au courriel, qui, lorsqu'il est ouvert, active le logiciel malveillant. Les attaquants utilisent des courriels personnalisés pour inciter la victime à les ouvrir. Par exemple, un courriel envoyé à un universitaire se présentait comme un appel à communications pour une conférence (CFP). La grande majorité des victimes se trouvaient en Inde, certaines en Malaisie. Le secteur des victimes relevait principalement de la recherche militaire ainsi que du transport maritime en mer d'Arabie et en mer de Chine méridionale. Dans certains cas, les attaquants semblaient avoir un objectif clair, où des fichiers spécifiques étaient récupérés sur certains ordinateurs compromis. Dans d'autres cas, les attaquants ont adopté une approche plus « tous azimuts », copiant chaque fichier d'un ordinateur. Les technologies militaires étaient manifestement au centre d'une attaque particulière, avec ce qui semblait être du code source dérobé. 45 adresses IP d'attaquants différentes ont été observées. Parmi celles-ci, 43 se trouvaient dans la même plage d'adresses IP basée dans la province du Sichuan, en Chine. Les deux restantes étaient basées en Corée du Sud. Le schéma des connexions des attaquants implique que les adresses IP sont utilisées comme un VPN, probablement dans une tentative de rendre les attaquants anonymes. Les attaques ont été actives depuis au moins avril 2011 jusqu'en février 2012. Les attaquants sont intelligents et concentrés, employant le minimum de travail nécessaire pour un gain maximal. Ils n'utilisent pas d'exploits zero-day ni de menaces complexes, mais s'appuient plutôt sur une ingénierie sociale efficace et sur des mesures de sécurité laxistes de la part des victimes.
Également connu sous le nom de
TA413, White Dev 9.
Références
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).