Dragos a identifié un nouveau groupe d'activité ciblant des opérations d'accès dans le secteur des services électriques. Nous nommons ce groupe d'activité RASPITE. L'analyse des tactiques, techniques et procédures (TTP) de RASPITE indique que le groupe est actif sous une forme ou une autre depuis le début ou le milieu de 2017. Le ciblage de RASPITE inclut des entités aux États-Unis, au Moyen-Orient, en Europe et en Asie de l'Est. Les opérations contre les organisations de services électriques semblent limitées aux États-Unis pour le moment. RASPITE exploite la compromission stratégique de sites web pour obtenir un accès initial aux réseaux ciblés. RASPITE emploie la même méthodologie que DYMALLOY et ALLANITE en intégrant un lien vers une ressource afin de provoquer une connexion SMB, à partir de laquelle il récolte les identifiants Windows. Le groupe déploie ensuite des scripts d'installation pour un service malveillant chargé d'établir une balise vers l'infrastructure contrôlée par RASPITE, permettant à l'adversaire d'accéder à distance à la machine de la victime.
Also known as
LeafMiner, Raspite.
References
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).