Les chercheurs en cybersécurité de Facebook ont ​​officiellement lié aujourd’hui les activités d’un acteur de la menace vietnamien à une société informatique du pays après que le groupe a été surpris en train d’abuser de sa plate-forme pour pirater les comptes des gens et distribuer des logiciels malveillants.

Suivi comme APT32 (ou Bismuth, OceanLotus et Cobalt Kitty), les agents d’État affiliés au gouvernement vietnamien sont connus pour orchestrer des campagnes d’espionnage au moins depuis 2012, aligné sur l’objectif de promotion des intérêts stratégiques du pays.

« Notre enquête a lié cette activité à CyberOne Group, une société informatique au Vietnam (également connue sous le nom de CyberOne Security, CyberOne Technologies, Hành Tinh Company Limited, Planet et Diacauso) », le responsable de la politique de sécurité de Facebook, Nathaniel Gleicher, et Cyber ​​Threat Intelligence Manager , Mike Dvilyanski, m’a dit.

Le démasquage d’APT32 par Facebook intervient des mois après Volexité divulgué plusieurs campagnes d’attaque lancées via plusieurs faux sites Web et pages Facebook pour profiler les utilisateurs, rediriger les visiteurs vers des pages de phishing et distribuer des charges utiles de logiciels malveillants pour Windows et macOS.

De plus, ESET a signalé un opération similaire diffusion via la plateforme de médias sociaux en décembre 2019, à l’aide de publications et de messages directs contenant des liens vers une archive malveillante hébergée sur Dropbox.

Le groupe est connu pour ses outils et leurres évolutifs et son utilisation de documents leurres et attaques de points d’eau pour inciter les victimes potentielles à exécuter un porte dérobée complète capable de voler des informations sensibles.

OceanLotus a gagné en notoriété au début de l’année dernière pour son ciblage agressif des multinationales automobiles dans le but de soutenir les objectifs de fabrication de véhicules du pays.

Au plus fort de la pandémie COVID-19, APT32 a réalisé campagnes d’intrusion contre des cibles chinoises, y compris le ministère de la Gestion des urgences, avec l’intention de recueillir des renseignements sur la crise du COVID-19.

Le mois dernier, Trend Micro les chercheurs ont découvert une nouvelle campagne exploitant une nouvelle porte dérobée macOS qui permet aux attaquants de fouiner et de voler des informations confidentielles et des documents commerciaux sensibles sur des machines infectées.

Puis, il y a deux semaines, Microsoft a détaillé une tactique d’OceanLotus qui impliquait l’utilisation de techniques de minage de pièces pour rester sous le radar et établir la persistance des systèmes de victimes, rendant ainsi plus difficile la distinction entre les crimes à motivation financière et les opérations de collecte de renseignements.

Maintenant, selon Facebook, APT32 a créé des personnages fictifs, se faisant passer pour des activistes et des entités commerciales, et a utilisé des leurres romantiques pour atteindre leurs cibles, les incitant finalement à télécharger des applications Android voyous via Google Play Store, assorties d’un large éventail d’autorisations pour permettre large surveillance des appareils des personnes.

« La dernière activité que nous avons étudiée et perturbée a les caractéristiques d’une opération bien financée et persistante se concentrant sur de nombreuses cibles à la fois, tout en masquant leur origine », ont déclaré les chercheurs. « Pour interrompre cette opération, nous avons bloqué la publication de domaines associés sur notre plateforme, supprimé les comptes du groupe et notifié les personnes que nous pensons ciblées par APT32. »

Dans un autre développement, Facebook a déclaré qu’il avait également perturbé un groupe basé au Bangladesh qui ciblait des militants locaux, des journalistes et des minorités religieuses, pour compromettre leurs comptes et amplifier leur contenu.

« Notre enquête a lié cette activité à deux organisations à but non lucratif au Bangladesh: Don’s Team (également connue sous le nom de Defence of Nation) et la Crime Research and Analysis Foundation (CRAF). Elles semblaient opérer sur un certain nombre de services Internet. »