UNC5325 est un opérateur de cyberespionnage soupçonné d'être chinois qui a exploité CVE-2024-21893 pour compromettre des appareils Ivanti Connect Secure. UNC5325 a tiré parti de code provenant de projets open source, installé des malwares sur mesure et modifié les paramètres de l'appareil afin d'échapper à la détection et de tenter de maintenir une persistance. UNC5325 a été observé déployant LITTLELAMB.WOOLTEA, PITSTOP, PITDOG, PITJET et PITHOOK. Mandiant a identifié des recoupements de TTP et de code de malware dans LITTLELAMB.WOOLTEA et PITHOOK avec des malwares utilisés par UNC3886. Mandiant évalue avec une confiance modérée qu'UNC5325 est associé à UNC3886.
Références
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).