Parmi les ordinateurs infectés, 7,2% des machines font partie de systèmes de contrôle industriels utilisés par des organisations opérant dans divers domaines, de l’ingénierie à l’énergie, en passant par la construction, la gestion de l’eau et les services publics. Organisations principalement situées en Inde, au Vietnam et en Russie. Le malware a infiltré les systèmes d’exploitation « via une plate-forme MaaS qui distribue des logiciels malveillants dans des archives d’installation de logiciels piratés ». Il est également diffusé via le botnet Glupteba.
Pour alimenter le botnet, un certain nombre d’installateurs ont été crackés. On peut citer notamment Microsoft Office, Adobe Acrobat, Garmin, Call of Duty, la boîte à outils SolarWinds Engineers, mais aussi la suite de sécurité Kaspersky. Pour commettre leurs méfaits, les hackers ont privilégié la méthode dite de l’intoxication des moteurs de recherche. Pour ce faire, ils ont créé des sites Web malveillants dont ils ont affiné la référence naturelle (SEO) pour les faire apparaître en haut des résultats de recherche.
Une fois installé, le malware est capable de prendre le contrôle total du système infecté. Plus précisément, les pirates ont pu désactiver l’antivirus, voler les données de connexion VPN, espionner les frappes au clavier. Ils ont également enregistré de l’audio, pris des captures d’écran et des enregistrements vidéo de l’écran et intercepté les données passant par le presse-papiers.
Après avoir analysé des échantillons, les chercheurs ont découvert des commentaires écrits en chinois. Mais cela ne suffit pas à établir l’identité et l’origine des pirates ainsi que l’implication potentielle du gouvernement. « Le grand nombre d’ordinateurs d’ingénierie attaqués, y compris les systèmes utilisés pour la modélisation 3D et physique, le développement et l’utilisation de jumeaux numériques, peut signifier que l’espionnage industriel est l’un des principaux objectifs de la campagne d’attaque », soulignent les chercheurs.