RedDelta
RedDelta je oznaka koju je zajednica infosec dala visoko aktivnoj APT (Advanced Persistent Threat) grupi. Postoje jake veze koje upućuju na to da je RedDelta prijetnja koju sponzorira Kine. Ciljevi skupine gotovo uvijek su u skladu s interesima kineske vlade. Jedna od posljednjih kampanja napada koja se pripisuje skupini pokrenuta je protiv nekoliko organizacija povezanih s Katoličkom crkvom. Među žrtvama su bili Vatikan i katolička biskupija Hong Konga. Ciljevi su također uključivali studijsku misiju u Hong Kongu u Kini i Papinski institut za strane misije (PIME), Italija. Obje organizacije prije ove operacije nisu bile klasificirane kao subjekti od interesa za hakerske grupe koje podržavaju Kinezi.
Operacije koje provode APT grupe koje su usklađene s kineskom pokazuju puno preklapanja kada je riječ o TTP-ovima (taktika, tehnike i procedure) kada je u pitanju razlikovanje između RedDelte i grupe poznate kao Mustang Panda (također praćene kao BRONČANI PRESIDENT i HoneyMyte) , posebno. Međutim, istraživači su pronašli dovoljno razlikovnih karakteristika kako bi ove serije napada s visokim povjerenjem pripisali RedDelti. Jedinstveni aspekti uključuju korištenje varijante PlugX s drugom metodom šifriranja konfiguracije, lanac infekcije nije pripisan drugim skupinama, a popis meta uključuje organe za provođenje zakona i vladine subjekte iz Indije, kao i indonezijske vladine organizacije.
Lanac napada
Prilagođeni PlugX teret isporučuje se žrtvinom stroju putem e-pošte s mamacom koja nosi dokument s oružjem kao privitak. U jednom od napada, dokument o mami je bio posebno upućen trenutnom šefu studijske misije Hong Konga u Kini. Visoko ciljana priroda sugerira da je RedDelta možda presrela službeni vatikanski dokument koji je naknadno naoružan. Također je vrlo vjerojatno da su hakeri koristili kompromitirani Vactica račun za slanje poruke o mami. Ista PlugX varijanta također je pronađena unutar dvije druge mamce za krađu identiteta. Ovaj put dokumenti o mamcima bili su imitacija pravog vijesti Unije katoličkih azijskih vijesti pod nazivom 'O kineskom planu za zakon o sigurnosti u Hong Kongu.doc' i druge datoteke povezane s Vatikanom pod nazivom 'QUM, IL VATICANO DELL'ISLAM.doc '
Nakon što se implementira, PlugX korisni teret uspostavlja komunikacijski kanal s infrastrukturom zapovijedanja i upravljanja (C2, C&C), koja je bila ista za sve opažene napade. C2 domena nalazila se na adresi systeminfor[.]com. Posljednja faza zlonamjernog softvera isporučena kompromitovanim sustavima su trojanci Poison Ivy i Cobalt Strike s udaljenim pristupom. Cilj RedDelte bio je pristup osjetljivim internim komunikacijama, kao i praćenje odnosa između odabranih ciljeva.
