GhostWriter APT, parrainé par l'État, met l'accent sur la désinformation
Il n'est pas rare que des groupes de menace persistante avancée (APT) servent les intérêts politiques d'un parti spécifique. Alors que bon nombre de ces organisations ont tendance à être motivées par des raisons financières, il existe également des groupes comme GhostWriter dont la spécialisation est de discréditer l'opposition politique, de diffuser de fausses informations et de provoquer des perturbations politiques. Les premières campagnes des pirates GhostWriter remontent à 2017, mais l'activité du groupe s'est vraiment accélérée vers 2020 lorsque leur nom a été associé à des dizaines d'attaques contre des responsables en Pologne, en Lettonie et en Lituanie.
Qu'est-ce que le mode opératoire GhostWriter APT ?
Les criminels à l'origine de ce groupe s'appuient fortement sur l'hameçonnage et les logiciels malveillants pour obtenir des identifiants de connexion sensibles de leurs victimes. La partie particulière est le type de comptes qu'ils ciblent - principalement liés aux systèmes de gestion de contenu. En compromettant les comptes de médias sociaux des politiciens et des hauts fonctionnaires, les criminels peuvent abuser de leurs comptes pour diffuser du contenu qui sert les intérêts politiques de GhostWriter.
Au lieu de télécharger un tout nouveau contenu sur des systèmes de gestion de contenu compromis, les pirates GhostWriter ont souvent été observés en train de manipuler le contenu précédent afin d'insérer de faux documents, de fausses citations ou une correspondance inventée.
On pense que le groupe a des liens étroits avec la Russie, mais leur pays d'origine le plus probable est la Biélorussie. Un thème commun parmi les déclarations que les pirates GhostWriter publient via des comptes compromis est l'Organisation du Traité de l'Atlantique Nord (OTAN) et, sans surprise, ils visent à discréditer la mission et les références de l'organisation dans les régions touchées.
Un autre indice des liens de GhostWriter avec la Russie est leur campagne la plus récente, qui est active depuis février 2022. Cette fois, les pirates soutenus par la Russie ciblent les responsables militaires ukrainiens via des e-mails de phishing.
