Confucius APT
Les premiers signes d'activité attribués à Confucius APT (Advanced Persistent Threat) remontent à 2013. Le collectif de hackers est actif depuis lors avec la dernière vague d'attaques qui a eu lieu en décembre 2020. On croit fermement que Confucius est parrainé par l'État et a montré des liens pro-indiens. Au fil des ans, les principales cibles des agences gouvernementales de la région de l'Asie du Sud-Est, des militaires pakistanais, des agences nucléaires et des responsables électoraux indiens.
Le groupe s'est principalement concentré sur les opérations de vol de données et de reconnaissance et cela a façonné sa boîte à outils contre les logiciels malveillants. Le premier à être attribué à Confucius était ChatSpy. Il a été déployé dans le cadre d'une opération de 2017 et a servi d'outil de surveillance. Entre 2016 et 2019, le groupe s'est engagé dans le développement actif du SunBird Malware, une menace de logiciel espion Android aux capacités étendues. Bien que la fonctionnalité de SunBird ait également été orientée vers le vol de données, y compris les identifiants d'appareils, la localisation GPS, les listes de contacts, les journaux d'appels, etc., elle a été conçue pour cibler spécifiquement WhatsApp en extrayant des documents, des bases de données et des images de l'application. En outre, SunBird était équipé de la fonctionnalité Remote Access Trojan (RAT) qui permettait à Confucius de supprimer des charges utiles de logiciels malveillants supplémentaires sur les appareils déjà compromis.
La dernière opération Confucius a été observée en décembre 2020 et utilisait une souche de logiciel espion Android entièrement différente. Baptisé Hornbill, il montrait l'évolution des activités du groupe. En effet, la portée des capacités de Hornbill a été réduite par rapport à SunBird, mais cela a permis à la menace d'agir comme un outil plus discret conçu pour collecter sélectivement les données de la cible. Hornbill a perdu la fonctionnalité RAT, mais a acquis la possibilité d'abuser des fonctions d'accessibilité Android pour détecter et enregistrer les appels WhatsApp actifs.
