Il gruppo di minacce MirrorFace, collegato alla Cina, è stato accusato dalle agenzie giapponesi NPA e NCSC di condurre una campagna di attacchi persistenti dal 2019. Questi attacchi hanno come obiettivo principale il furto di informazioni relative alla sicurezza nazionale e alla tecnologia avanzata del Giappone. MirrorFace, noto anche come Earth Kasha, è considerato un sottogruppo dell'APT10 e ha una storia di attacchi sistematici contro entità giapponesi, utilizzando strumenti come ANEL, LODEINFO e NOOPDOOR.

Recentemente, Trend Micro ha rivelato una campagna di spear-phishing che mirava a consegnare ANEL e NOOPDOOR a individui e organizzazioni in Giappone. Altri attacchi sono stati osservati anche contro Taiwan e India. Secondo NPA e NCSC, gli attacchi di MirrorFace sono stati suddivisi in tre principali campagne.

**La Campagna A**

Attiva da dicembre 2019 a luglio 2023, ha preso di mira think tank, governi, politici e organizzazioni mediatiche tramite email di spear-phishing per diffondere LODEINFO, NOOPDOOR e LilimRAT, una versione personalizzata del RAT open-source Lilith.

**La Campagna B**

Da febbraio a ottobre 2023, ha colpito settori come semiconduttori, manifattura, comunicazioni, accademia e aerospaziale sfruttando vulnerabilità note di dispositivi come Array Networks, Citrix e Fortinet per diffondere Cobalt Strike Beacon, LODEINFO e NOOPDOOR.

**La Campagna C**

Iniziata a giugno 2024, ha preso di mira accademie, think tank, politici e organizzazioni mediatiche per diffondere ANEL, noto anche come UPPERCUT.

Questi attacchi sono caratterizzati anche dall'uso di tunnel remoti di Visual Studio Code per stabilire connessioni nascoste, consentendo agli attori delle minacce di bypassare le difese di rete e controllare da remoto i sistemi compromessi. Le agenzie hanno osservato che in alcuni casi, i payload malevoli venivano eseguiti all'interno della Windows Sandbox, comunicando con un server di comando e controllo. Questo metodo permette al malware di eseguire senza essere monitorato dal software antivirus o EDR sul computer ospite, eliminando le tracce alla chiusura o al riavvio del sistema, evitando così di lasciare prove.