Storm-2561 est un acteur cybercriminel connu pour une campagne de vol d'identifiants qui recourt au SEO poisoning pour distribuer de faux clients VPN. La campagne redirige les utilisateurs vers des fichiers ZIP malveillants contenant des chevaux de Troie signés numériquement qui collectent des identifiants VPN, en exploitant la confiance des utilisateurs dans les résultats des moteurs de recherche. Les composants malveillants sont signés par « Taiyuan Lihua Near Information Technology Co., Ltd. » et étaient hébergés sur des dépôts GitHub qui ont depuis été retirés. Cette opération présente des caractéristiques cohérentes avec une cybercriminalité à motivation financière.
Références
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).