La firme de sécurité informatique ESET a découvert une opération d’espionnage numérique ciblant des diplomates d’Europe centrale. Les pirates ont utilisé pour ce faire des courriels relatifs à la prochaine Expo 2025 à Osaka, au Japon. Le groupe MirrorFace, soupçonné d’être à l’origine de cette cybermenace, vise depuis assez longtemps déjà des cibles au Japon et dans ses environs.
A la connaissance d’ESET Research, comme la firme de sécurité slovaque l’a déclaré dans un communiqué de presse, l’opération de cyber-espionnage récemment découverte est la première dans laquelle le groupe MirrorFace vise une cible européenne. Mais l’attaque, baptisée Operation AkaiRyū (dragon rouge en japonais), fait toujours partie d’une série de cyber-opérations visant le Japon, un pays ciblé par le groupe de hackers: les diplomates en question voyageaient pour communiquer sur Expo 2025, la prochaine exposition universelle qui s’ouvrira à Osaka le 13 avril.
Différentes techniques
L’attaque découverte a eu lieu via plusieurs techniques d’attaque – TTP (Tactics, Techniques and Procedures en jargon). Tout a commencé par une attaque de ‘spear-phishing’ visant les diplomates: un courriel faisant référence à une interaction légitime antérieure entre l’institution et une ONG japonaise.
Mais certains des outils utilisés s’avéraient nouveaux, du moins dans les opérations connues du groupe de hackers lié à la Chine: MirrorFace, par exemple, semblait avoir utilisé la porte dérobée Anel ou Uppercut, dont l’utilisation était principalement liée à APT10.
Sous-groupe
L’autre groupe de hackers soutenu par le gouvernement chinois, anciennement connu sous les appellations Red Apollo ou Stone Panda, semble donc désormais à tout le moins collaborer avec MirrorFace. ‘L’utilisation d’Anel prouve le lien possible entre MirrorFace et APT10’, déclare Dominik Breitenbacher, chercheur chez ESET, dans un communiqué de presse. ‘Nous croyons désormais que MirrorFace est devenu un sous-groupe de l’ensemble APT10.’
Vous avez repéré une erreur ou disposez de plus d’infos? Signalez-le ici