TAG-112 est un APT parrainé par l'État chinois qui a compromis des sites web tibétains, notamment Tibet Post et Gyudmed Tantric University, pour diffuser le logiciel malveillant Cobalt Strike. Le groupe a exploité des vulnérabilités dans le CMS Joomla pour intégrer du code JavaScript malveillant qui simulait une erreur de certificat TLS, incitant les utilisateurs à télécharger un certificat de sécurité compromis. L'infrastructure de TAG-112, dissimulée à l'aide de Cloudflare, présente un recoupement notable avec TAG-102, mais elle emploie des tactiques moins sophistiquées, s'appuyant sur Cobalt Strike plutôt que sur des logiciels malveillants personnalisés. Cette campagne reflète des efforts continus de cyberespionnage ciblant des entités tibétaines, probablement à des fins de collecte d'informations et de surveillance.
Références
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).