Een Advanced Persistent Threat (APT)-groep genaamd Turla die voor de Russische overheid zou werken heeft de infrastructuur, malware en tools van een andere APT-groep gekaapt die voor de Iraanse overheid werkzaam zou zijn, zo stellen de Amerikaanse en Britse overheid in een gezamenlijk rapport.

APT-groepen zijn volgens securitybedrijven en onderzoekers vaak statelijke actoren of groepen die in dienst van een land opereren. De Amerikaanse geheime dienst NSA en het Britse National Cyber Security Centre (NCSC) stellen dat ze de Turla-groep malware en tools van een vermeende Iraanse APT hebben zien gebruiken. "Turla testte de tools eerst tegen slachtoffers die ze al hadden gecompromitteerd via hun Snake-toolkit, en rolde de Iraanse tools vervolgens uit naar andere slachtoffers", aldus het rapport.

De Turla-groep zou ook actief hebben gezocht naar de backdoors van de andere APT-groep om zo toegang tot systemen van potentieel interessante doelwitten te krijgen. Het ging om webshells die door de Iraanse APT-groep waren geïnstalleerd, maar door Turla werden gebruikt om nieuwe slachtoffers te maken. Tevens wist Turla de command & control-infrastructuur van de Iraanse APT-groep te compromitteren om zo hun eigen tools en malware te verspreiden.

Volgens de NSA en het NCSC paste de Turla-groep deze werkwijze voornamelijk toe in het Midden-Oosten, waar de interesses van beide APT-groepen elkaar zouden overlappen. "Hoewel attributie van aanvallen en het auteurschap van tools erg lastig te bewijzen kan zijn, laat het bewijsmateriaal zien dat Turla toegang tot Iraanse tools had en de mogelijkheid om ze voor hun eigen doeleinden te gebruiken", zo stellen beide overheidsdiensten, die opmerken dat de Iraanse APT hier bijna zeker niets van afwist.