Organizaciones gubernamentales y estatales de varios países asiáticos han sido blanco de un grupo distinto de piratas informáticos de espionaje como parte de una misión de recopilación de información que ha estado en marcha desde principios de 2021.
Se dice que la campaña está dirigida exclusivamente a instituciones gubernamentales relacionadas con las finanzas, la industria aeroespacial y la defensa, así como a medios de comunicación estatales, empresas de TI y de telecomunicaciones.
La carga lateral de bibliotecas de enlaces dinámicos (DLL) es un método de ciberataque muy popular que aprovecha la forma en que las aplicaciones de Microsoft Windows manejan los archivos DLL. En estas intrusiones, se coloca una DLL maliciosa falsa en el directorio de Windows Side-by-Side (WinSxS) para que el sistema operativo la cargue en lugar del archivo legítimo.
Los ataques implican el uso de versiones antiguas y obsoletas de soluciones de seguridad, software gráfico y navegadores web que seguramente carecen de mitigaciones para la carga lateral de DLL, utilizándolas como conducto para cargar shellcode arbitrario diseñado para ejecutar cargas útiles adicionales.
La identidad del grupo de amenazas no está clara, aunque se dice que ha utilizado ShadowPad en campañas anteriores, un backdoor modular que se ha diseñado como sucesor de PlugX (también conocido como Korplug) y que comparten muchos actores de amenazas chinos.