Les acteurs malveillants ont compromis le serveur de mise à jour d'un fournisseur de solutions de support à distance afin de livrer à leurs cibles d'intérêt un outil d'accès à distance appelé 9002 RAT par le biais du processus de mise à jour. Pour ce faire, ils ont d'abord dérobé le certificat de l'entreprise, puis l'ont utilisé pour signer le logiciel malveillant. Ils ont également configuré le serveur de mise à jour pour qu'il ne livre des fichiers malveillants que si le client se situe dans la plage d'adresses IP de leurs organisations cibles.
Références
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).