Po prawie miesięcznym braku aktywności eksperci Proofpoint wykryli wznowioną działalność chińskiej grupy RedDelta. Cyberprzestępcy wykorzystują temat odnowionego porozumienia pomiędzy Watykanem a Chinami jako socjologiczną przynętę do działań phishingowych. Wykryto również próby podszywania się pod dziennikarzy katolickich mediów.
Na przestrzeni zaledwie kilku miesięcy grupa dokonała zmiany wykorzystywanych narzędzi jednak cel działań pozostaje bez zmian – infiltracja watykańskich sieci. Jak wynika z analizy działań cyberprzestępców przeprowadzonej przez ekspertów firmy Proofpoint, cyberprzestępcy do swoich działań stosowali sfałszowane nagłówki e-maili, będące próbą podszywania się pod dziennikarzy katolickiej agencji Union of Catholic Asia News. Potencjalne ofiary nakłaniano do dalszej interakcji poprzez tematykę dotyczącą porozumienia zawartego pomiędzy Watykanem a Chinami.
Grupa już wcześniej wykazywała momenty uśpienia. Taki 10-dniowy "urlop" cyberprzestępcy odnotowali we wrześniu br. po publikacji pierwszego raportu ekspertów z Recorded Future. Zauważalna była również przerwa w działalności przypadająca m.in. na okres chińskich świąt narodowych.
Głośno o operacjach chińskich hakerów z grupy RedDelta zrobiło się w lipcu tego roku, po publikacji Recorded Future. W jego ramach wykazano aktywność hakerów począwszy od maja br. odnoszącą się do infiltracji sieci watykańskich oraz diecezji Kościoła rzymskokatolickiego w Hongkongu, a także komunikacje pomiędzy tymi podmiotami.
Chińska grupa RedDelta znana jest również jako Mustang Panda czy APT TA416. Działania opisane w dwóch raportach Recorded Future wskazywały na dokonywanie próby infiltracji komunikacji pomiędzy Watykanem a Diecezją w Hongkongu. Narzędzia i metody wykorzystane przez grupę były także stosowane w przypadku chińskich podmiotów wspieranych przez rząd.
Chiny i Watykan na początku września stanęły przed rozmowami odnośnie odnowienia umowy stabilizującej stosunki pomiędzy tymi państwami podpisanej w 2018 roku. W lipcu br. Reuters, powołując się na swoje źródła, wskazywał, że planowane przedłużenie porozumienia może być utrudnione z uwagi na pandemię koronawirusa. Pierwszy raport o działalności grupy pojawił się tuż przed zapowiadanymi rozmowami o odnowieniu porozumienia.
