Grupa hakerów, o której wiadomo, że działają pod kierownictwem irańskiego rządu, wykorzystała fikcyjne konta Gmail i Facebook, aby narazić pracowników amerykańskiego kontrahenta na obronę. Raport wydany w poniedziałek przez kalifornijską firmę zajmującą się cyberbezpieczeństwem Proofpoint zidentyfikował hakerów stojących za kampanią szpiegowską jako członków grupy o kryptonimie Threat Actor 456 (TA456).
Znany również jako Imperial Kitten i Tortoiseshell, TA456 ma historię ścigania celów szpiegowskich pod kierunkiem rządu irańskiego. Według Proofpoint, TA456 jest jednym z „najbardziej zdeterminowanych” cyberprzestępców sprzymierzonych z Iranem. Firma zajmująca się cyberbezpieczeństwem dodaje, że działania szpiegowskie TA456 często są wymierzone w zachodnich „obronnych wykonawców baz przemysłowych”, o których wiadomo, że specjalizują się na Bliskim Wschodzie.
Ostatnia operacja TA456 dotyczyła fikcyjnej osobowości online, która nazywała się „Marcella Flores”, znana również jako „Marcy Flores”, która twierdziła, że mieszka w brytyjskim mieście Liverpool. Grupa wykorzystywała konto Gmail i fałszywy profil na Facebooku, aby wzmocnić wiarygodność fikcyjnego profilu i skontaktować się z pracownikami kontraktorów wojskowych Stanów Zjednoczonych. Jeden z takich pracowników zaczął korespondować z Floresem na Facebooku pod koniec 2019 roku.
W czerwcu 2021 r., po ponad rocznym utrzymywaniu relacji z pracownikiem obrony, Flores wysłała pracownikowi link do pliku wideo, rzekomo jej samej. Plik zawierał złośliwe oprogramowanie, znane jako LEMPO, które zostało zaprojektowane do przeszukiwania atakowanych komputerów i dostarczania hakerom kopii plików znalezionych w przenikniętych systemach.
