今週のまとめのトップを飾るのは、CTIがソフォスのレポートを詳しく分析した記事です。このレポートでは、同社の社名を悪用して利益を得ている新たな「ランサムウェア・アズ・ア・サービス（RaaS）」の活動について取り上げられています。 続いて、金銭目的の脅威アクター「 FIN8 」が、現在、改変された「Sardonic」バックドアを利用して「BlackCat」ランサムウェアを配布し、利益を最大化している仕組みについて詳しく解説します。 最後に、CTIは、中国のサイバー諜報グループが、検知を最小限に抑え、犯行の特定を困難にするために、どのように進化しているかを検証しています。
1. 「SophosEncrypt」ランサムウェアは、サイバーセキュリティ企業のソフォスを装っています
サイバーセキュリティ企業ソフォス（Sophos）が、MalwareHunterTeamによる 7月17日 のツイート で公表された発見を受けて作成した、 の最新レポート では、「SophosEncrypt」と名付けられた新たなランサムウェア・アズ・ア・サービス（RaaS）の活動が明らかにされています。この活動は、同社の社名を悪用して利益を得ようとしています。
当初、このランサムウェアは、ソフォス社が実施していたレッドチーム演習の一環であると見なされていたと報じられています。 しかし、ソフォスのX-Opsチームは上記のツイートに迅速に対応し、MalwareHunterTeamからの情報提供に感謝の意を表するとともに、同チームの研究者がその日の早い時間にVirusTotal上で当該ランサムウェアのサンプルをすでに発見していたことを明らかにしました。
BleepingComputer（ ）の報道によると、MalwareHunterTeamの「ID Ransomware」サービスには、この新しいマルウェアに感染した被害者からの報告が1件寄せられており、これはRaaS（Ransomware-as-a-Service）の活動が活発であることを明確に示しています。 研究者たちは、このマルウェアの動作や拡散手法についてまだほとんど把握できていませんが、MalwareHunterTeamがこの暗号化マルウェアのサンプルを発見し、その「動作の概要」を把握することができました。
SophosEncryptとは何ですか？
問題の新しいサンプルは、ソフォスのX-OpsアナリストがVirusTotalを定期的に検索していた際に発見されました。 アナリストは、この亜種が、ランサムウェアが使用するパネルのUIにおいて、「Sophos」という名称を用い、被害者にファイルが暗号化されたことを通知していることに気づきました。 また、暗号化されたファイルの拡張子に「.sophos」を付加していたようです。
実際のランサムウェアの実行ファイルについて、ソフォスの研究者たちは、それがMinGWを使用してコンパイルされており、リンクされたRustライブラリが含まれていることを突き止めました。 ソフォスはまた、その機能面について「異例なほどレトロ」であると評しています。
ソフォスより：
「最近のランサムウェア攻撃のほとんどにおいて、ランサムウェアを開発する攻撃者は、他の機能をあまり盛り込まず、ファイルを暗号化するという目的のみを明確に、かつ専らに果たすためのツールを作成しています。」 現在、私たちが対処しているランサムウェアのほとんどは、単一の目的のためだけに作られた実行ファイルであり、追加の機能はほとんど、あるいはまったく備えていません。
「あらゆる兆候から判断すると、これらのファイルに関するVirusTotalの記録が示唆している通り、また当社の分析でも確認されたように、サンプルの1つには、ファイルの暗号化以外にも多くの機能を持つ能力があり、これは異例のことです。」
研究者たちは、このマルウェアのファイル（ ）が持つ機能（ ）により、このマルウェアは、典型的な現代のランサムウェアの亜種というよりは、ファイルの暗号化や身代金要求メッセージの生成機能を備えた汎用的なリモートアクセストロイの木馬（RAT）に近いものに見える、とまで主張しています。
こうした活動には、キーストロークの記録のためにキーボードドライバをフックしたり、WMIコマンドを使用してシステムのプロファイリングを行ったりすることが含まれます。 しかし、他の多くのランサムウェアファミリーと同様、SophosEncryptにも、暗号化の対象から除外されるディレクトリのリストが用意されています（これらは、システムの起動を妨げる恐れがあるか、あるいは暗号化する必要がないと判断された重要度の低いファイルが含まれているためです）。 また、多くのランサムウェアのファミリーと同様に、SophosEncryptもシステムの言語設定について通常のチェックを行い、設定がロシア語に設定されていると判断した場合は実行を拒否します。
身代金交渉を円滑に進めるため、このランサムウェアの開発者は、被害者に対し、今日のランサムウェア組織の多くがもはやほとんど利用していない通信手段を使用することを望んでいます。 その例としては、電子メールやJabberというインスタントメッセージングプラットフォームなどが挙げられます。
標本間の差異の検討
ソフォスのレポートでは、上述したランサムウェアとは異なる特徴が比較的少ない、別の既知のサンプルについても言及されています。 とはいえ、どちらの亜種もインターネット経由でコマンド＆コントロール（C2）サーバーに接続しており、その接続ではダークウェブ上のTorアドレスが参照されています（ただし、ソフォス社によれば、分析対象となったサンプルのいずれもTor接続を行っていなかったとのことです）。
さらに、どちらのサンプルにも、サンプルが接続するハードコードされたIPアドレスが含まれています。 ソフォスによると、問題のアドレスは1年以上にわたり、Cobalt Strike C2 の活動および、外部に公開されているデバイスに暗号通貨マイニングソフトウェアを感染させようとする自動化された攻撃の両方に関連付けられてきました。
どちらのサンプルも、Windowsのコマンドラインから実行されるように設計されています。 コマンドプロンプトアプリケーションで実行されると、このランサムウェアは、ランサムウェアの運営者に対し、一連の情報を入力するよう促します。これにより、マルウェアの動作設定が行われるほか、最終的に被害者のデバイスに表示される身代金要求メッセージも決定されます。
ソフォスによると、このプログラムは、操作者に32文字の暗号化されたパスワードの入力を求め、その後にトークンと見られるもの、メールアドレス、およびJabberインスタントメッセージングのアカウントアドレスを入力するよう促すとのことです。 攻撃者が情報の入力に成功すると、プログラムはコントローラーに対し、以下の選択肢のいずれかを選択するよう促します：
- ハードドライブ上のすべてのファイルを暗号化してください。
- 1つのドライブ文字を暗号化します。
- プログラムを終了してください。
攻撃者が1つ目の選択肢または2つ目の選択肢のいずれかを選択した場合、ランサムウェアは暗号化処理が完了すると、ファイル名の変更にトークンの値を用いて、暗号化されたファイルの名前を変更します。
指定されたメールアドレスとJabberアドレスは、いずれも身代金要求メッセージに追加されます。このメッセージは、暗号化が正常に完了した任意のディレクトリにドロップされたHTMLアプリケーション（.hta）ファイルの形式で、被害者に送信されます。
このファイルは、攻撃の初期段階で攻撃者が提供した連絡先情報を含む身代金要求メッセージを単に表示するものです。
前述の最初の亜種と同様、このランサムウェアは、処理の最後に、暗号化するすべてのファイル名の末尾に、一意のマシン識別子、攻撃者がセットアップ時に入力したメールアドレス、および接尾辞「.sophos」を追加します。
また、ソフォスは、暗号化処理が中断された場合、このランサムウェアは身代金要求メッセージを残したり、パブリック画像サーバーから取得するように設定されている壁紙画像に変更したりすることはないと指摘しています。 それ以外の場合、暗号化処理が問題なく完了したと仮定すると、ランサムウェアは公開画像ライブラリのウェブサイトから画像を取得し、それを使って被害者のWindowsデスクトップの壁紙を変更し、「Sophos」と表示された画面に切り替えます。 さらに、被害者のデスクトップに表示されているソフォスのバナーは、正規のサイバーセキュリティ企業が使用しているロゴ、色、ブランドイメージを正確に再現できていません。 その代わりに、被害者には緑色の南京錠の画像が描かれたロゴが表示され、それに伴い、身代金要求文を見つけて利用し、攻撃者に連絡して交渉を開始する方法についての指示が示されます。
自身のパフォーマンスの記録
SophosEncrypt をコンソールで実行すると、デバッグログの結果を詳細に記した包括的なリストが表示され、各ファイルの暗号化にかかる時間がミリ秒単位で報告されます。 不思議なことに、Sophos Intercept Xというセキュリティソリューションがファイルの暗号化を阻止した場合でも、このランサムウェアは「SUCCESS」と表示してしまいます。
ランサムウェアの実行ファイルのプロパティを確認すると、これらは「それぞれプログラムのバージョン 0.0.8 および0.0.9」であることがわかります。 どちらの実行ファイルも署名されておらず、実行するとどちらもUACによる権限昇格の確認画面が表示されます。」
ランサムウェアのトークンについて
ソフォスが説明しているように、このトークンは、ランサムウェアがコンピュータに対して簡単なシステムプロファイリングを行う際に使用されます。 このプログラムは、標的のネットワークのパブリックIPアドレスを取得し、IPアドレス 179.43.154[.]137 のポート21119/tcpに対してHTTP POSTリクエストを送信し、トークンおよびコンピュータに関するプロファイリング情報を送信します。 このセッションは暗号化されていません。
サーバーがトークンの値を受け入れない場合、アプリケーションはコンソールに「トークンが無効です」というエラーメッセージを表示します。 この時点で、アプリケーションは終了します。 ランサムウェアがオフラインのコンピュータ上で実行された場合、「プログラムのローカル使用」というメッセージが表示され、処理が進行します。その後、暗号化を行う前に、ユーザーに対して32バイトのパスワードと連絡先情報の入力を求めます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「セキュリティ企業の名前が、攻撃者のマルウェアに登場したのは、今回が初めてではありません。」 これは驚くべき展開ではありません。というのも、脅威アクターがセキュリティ研究者を装い、偽のサイバーセキュリティ企業を設立して、ハッキングの才能ある人材を引き寄せ、情報を収集している事例が確認されているからです。
そのことを踏まえると、サイバーセキュリティ企業のソフトウェアを装うことは、次なる当然の展開のように思われます。 BleepingComputerによると、研究者たちは現在もSophosEncryptを分析しており、暗号化されたファイルを無料で復元できるような脆弱性がないかを確認しているとのことです。
2. FIN8 は、BlackCatランサムウェアに改変されたSardonicバックドアを使用しています
シマンテックの新しいレポートによると、金銭を目的とする脅威アクター「 FIN8」（ ）が、「Sardonic」と呼ばれるバックドアの改良版を利用して、BlackCatランサムウェアを配布していることが明らかになりました。 Symantec’s researchers believe this development is FIN8’s attempt to diversify its focus and maximize profits.
FIN8について
- FIN8 は、少なくとも2016年1月の頃から活動している、金銭目的の脅威グループです。 このグループは、ホスピタリティ、小売、エンターテインメント、保険、テクノロジー、化学、金融の各業界の組織を標的としています。
- このグループは、これまで「その場にあるものを利用する」という戦術を採用し、PowerShellやWMIといった組み込みのツールを活用してきました。 このマルウェアが好んで用いる初期侵入手法は、 （ソーシャルエンジニアリング）、 、（スピアフィッシング）、です。
- FIN8 は当初、POS（販売時点情報管理）システムを標的とした攻撃を専門としていましたが、その後、攻撃においてさまざまなランサムウェアの脅威を利用していることが確認されています。 例えば、「 2021年6月」では、 FIN8 が今年初めに金融サービス企業のシステムを侵害した後、その端末に「Ragnar Locker」ランサムウェアを展開している様子が確認されました。 2022年1月において、このグループが攻撃に「White Rabbit」ランサムウェアを利用していることが確認されました。 その後、 2022年12月において、シマンテックは、このグループが攻撃の際にBlackCatランサムウェアを展開しようとしているのを確認しました。
FIN8 がバックドアをどのように利用しているか
FIN8 は、攻撃の合間に長期の休止期間を設ける傾向があり、おそらくは戦術、技術、手順（TTP）を改善するためと考えられます。 2021において、Bitdefenderは新しい 「Sardonic」バックドアの詳細（ ）を公開し、これをFIN8と関連付けました。 Sardonicバックドアは、システム情報を収集し、コマンドを実行することができます。 また、DLLとして配信される追加のマルウェアペイロードを読み込み・実行するためのプラグインも備えています。
シマンテックが確認した 2022年12月 による攻撃では、改良されたバックドアを利用してBlackCatランサムウェアを展開していました。 このキャンペーンで使用された「Sardonic」バックドアは、Bitdefenderが分析したバックドアと共通する特徴を有していますが、そのコードの大部分は書き換えられており、外観が一新されています。 とりわけ注目すべきは、このコードがもはやC++標準ライブラリを使用しておらず、オブジェクト指向機能の大部分が純粋なC言語による実装に置き換えられている点です。
攻撃者の活動
2022年12月 のインシデントの際、攻撃者はPsExecを介して接続し、「quser」コマンドを実行してセッションの詳細を表示しました。 その後、バックドアを起動するために、さらに別のPowerShellコマンドを実行しました。 攻撃者はバックドアに接続し、影響を受けたコンピュータの詳細を確認した後、持続性を確立するためのコマンドを実行しました。
翌日、攻撃者は、すでに常駐状態になっていたバックドアに接続しましたが、いくつかの簡単なコマンドを実行した後、活動を中断しました。 30分後、活動が再開され、攻撃者はImpacketのwmiexec.pyを使用して、新たなバックドアを起動するためのプロセスを開始しました。 この新しいバックドアは、その後数時間にわたって利用されました。 この新しいバックドア用PowerShellスクリプトは、新しいファイル名を使用しており、復号キーの引数を削除することでコマンドラインを簡略化しています。
PowerShell スクリプト
この攻撃とこれまでの FIN8 件の攻撃との主な違いの一つは、バックドアを展開するために用いられた手法です。
このケースでは、バックドアがPowerShellスクリプトに間接的に埋め込まれ、標的となるマシンを感染させるために使用されました。 このキャンペーンで使用されているPowerShellスクリプトには、いくつかの重要な要素が含まれています。 このスクリプトの1行目は、PowerShellスクリプトファイル自体を削除するためのものです。 2行目では、現在のプロセスのアーキテクチャを確認した上で、エンコードされた.NETローダーの32ビット版または64ビット版を選択します。 3行目では、.NETローダーのバイナリをデコードし、それを現在のプロセスに読み込みます。 コードの最後の行で、ローダーの主要な機能が実行され、そこでインジェクターとバックドアの復号化が行われます。
- .NETローダー： このローダーは難読化された.NET DLLであり、2つのブロブが含まれています。 これらのデータブロックは、解凍する前に、ハードコードされた復号鍵を用いて RC4 アルゴリズムで復号されます。 その後、解凍されたブロブは、連続したメモリ領域にコピーされます。 その後、ローダーは制御を2番目のブロブであるインジェクターに移し、1番目のブロブであるバックドアのメモリ位置とサイズをパラメータとして渡します。
- インジェクター： このインジェクターはシェルコードの形式をとっています。 このインジェクターの目的は、新しく作成された WmiPrvSE.exe プロセス内でバックドアを起動することです。 このプロセスを作成する際、インジェクターは lsass.exe プロセスから盗んだトークンを使用して、セッション 0 でそのプロセスを起動しようとします。
Sardonicバックドア
Sardonicバックドアもシェルコードの形式をとっています。
- 対話型セッション： このバックドアの興味深い特徴の一つは、対話型セッションに関連するもので、攻撃者が侵害されたデバイス上で cmd.exe やその他の対話型プロセスを実行するものです。 このサンプルでは、最大 10 のセッションを同時に実行することができます。 個々のプロセスを起動する際、攻撃者は、セッションごとに異なる指定されたプロセスIDから盗み出したプロセストークンを使用することができます。
- 拡張機能： このバックドアのもう一つの注目すべき特徴は、その機能を拡張するために3つの異なる形式をサポートしている点です。 1つ目の形式は、バックドアが自身のプロセス内で読み込むPE DLLプラグインです。 バックドアがサポートする2つ目の形式はシェルコードであり、各プラグインは専用のプロセス内で実行されます。 3つ目の形式もシェルコードの形式ですが、引数の渡し方に関する規約が異なります。
- ネットワーク通信： バックドアは、コマンド＆コントロール（C2）サーバーと通信する際、以下の構造を用いて、サイズが可変のメッセージをやり取りします。 ボディフィールドのサイズは、ヘッダーフィールドの内容から判断することができます。
- 初期メッセージ：バックドアが C2 サーバーに接続すると、ヘッダーフィールドの値が0xFFFFFCC0 （ハードコード）で、フッターフィールドが初期化されていない状態で、0x10C バイトの初期メッセージを送信します。
- ボディサイズ ヘッダーフィールドの値が 0xFFFFFE78 （ハードコード）である各受信メッセージに対して 0x80 となり、
- それ以外の場合は、ボディサイズは単にヘッダーフィールドの値となります。
本文およびフッターフィールドの内容は、暗号化キーとして rc4_keyを使用し、 RC4 で暗号化されます。 各フィールドを暗号化する際、キーストリームは再利用されます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
“FIN8 は、そのTTPを洗練・更新することで、明らかにその能力を向上させ続けています。 このバックドアが登場してから数か月後に、同グループが改良版の「Sardonic」バックドアを使用したことは、同バックドアが定期的に改良・更新されていることをさらに裏付けるものです。
「シマンテックが指摘しているように、このグループがPOS攻撃からランサムウェアの展開へと方針を転換したことは、その執念と、利益を最大化しようとする姿勢を浮き彫りにしています。」
3。 中国のサイバー諜報活動を行う主体は、検知を回避するために戦術を進化させています
マンディアント社は、 に記載されている中国のサイバー諜報グループ が、検知される可能性を最小限に抑え、犯行の特定を困難にするために、どのような多様な手法で進化しているかを追跡しています。 同グループの分析によると、中国のグループはゼロデイ脆弱性を悪用し、ルーターを標的とし、その他にも、被害者のネットワークへの内外のトラフィックを中継・偽装する手法を用いているとのことです。
中国は、ネットワーク、セキュリティ、および仮想化ソフトウェアに注力しています
マンディアント社は、 2021 および2022において、中国のサイバー諜報活動によるゼロデイ攻撃が、セキュリティ、ネットワーク、および仮想化技術に焦点を当てていたと考えています。
これらのデバイスを標的にすることで、攻撃者には多くの戦術上の利点が生じます。 セキュリティ機器やネットワーク機器はエッジデバイス、つまりインターネットからアクセス可能なものであるため、攻撃者は人間の介入を一切必要とせずに、これらの機器への初期アクセス権を取得することが可能です。 これにより、発見される可能性が低くなります。
マンディアントが指摘しているように、エッジデバイスや仮想化ソフトウェアの監視は、より困難になる場合があります。 EDRソリューションに対応していないシステムもあるため、検知される可能性がさらに低くなる可能性があります。 比較的最近行われた2つの攻撃キャンペーンは、中国の脅威アクターがステルス性を最大限に高めるために用いてきた注目すべき戦略を浮き彫りにしています。
第UNC3886 部隊は、難攻不落の標的に対する複雑な作戦において、2つのゼロデイ攻撃を成功させました
マンディアントは、サイバー諜報活動を行う攻撃者 UNC3886 が、複数の攻撃経路と2つのゼロデイ脆弱性を悪用して、持続的な侵入基盤を確立し、仮想化環境へのアクセス権を取得した2022 件のインシデントを調査しました。 この脅威アクターは、主に米国およびアジア全域の防衛産業基盤、テクノロジー企業、通信事業者を標的としていました。
この脅威アクターは、ネットワーク上での活動範囲を、従来EDRソリューションが導入されていなかったフォーティネットのセキュリティ機器やVMwareの仮想化技術、デバイス、プラットフォームに限定していました。 この脅威アクターが作成したカスタムマルウェアやエクスプロイトは、ログやセキュリティ制御の回避を最優先としており、起動時にログを消去・改ざんし、ファイルシステムの検証機能を無効にしていました。
UNC4841’s 件の「Barracuda ESG」の悪用事例は、当初は目立たない形で始まり、その後、攻撃的になってきました
中国を背景とみられるサイバー諜報活動主体「 UNC4841 」は、世界中の公的機関および民間組織を標的とした攻撃キャンペーンにおいて、バラクーダESGアプライアンスのゼロデイ脆弱性を悪用しました。 マンディアントは、複数の事例において、攻撃者が情報漏洩のためにデータを準備する前に、関心のある電子メールデータを検索していたという証拠を確認しました。
この脅威アクターは、その活動の要素をさまざまな方法で隠蔽しようとしていました。
- 攻撃者は、Barracudaの脆弱性を悪用するように特別に作成されたTARファイルを添付した電子メールを送信し、これにより、ESG製品の昇格された権限を利用して任意のシステムコマンドを実行することが可能となりました。
- また、このグループは、正規のESGファイルと類似した命名規則を用いたカスタムマルウェアを開発し、正規のBarracudaモジュールにカスタムバックドアコードを埋め込みました。
- 場合によっては、攻撃者は、ESGアプライアンスにセットアップ用として同梱されている正規の自己署名型SSL一時証明書と、被害者の環境から盗み出した証明書を組み合わせて利用し、 C2 トラフィックを隠蔽していました。
この脅威アクターは、是正措置やその活動が公になったことに対して、かなり攻撃的な反応を示しました。 Barracudaの脆弱性が公表され、初期の是正措置が講じられた後、脅威アクターはこれに対抗するため、独自のマルウェアを迅速に改変し、追加の永続化メカニズムを採用するとともに、アクセスを維持するために横方向の移動を行いました。
その他の例
上記で概説した2つの事例は、セキュリティ製品やネットワーク製品のゼロデイ脆弱性を悪用する中国のサイバースパイ活動が後を絶たない中、そのほんの一部に過ぎません。
- マンディアント社は、 CVE-2022-42475 （フォーティネット社のFortiOS SSL-VPNにおける脆弱性）が悪用されていることを報告しており、最も古い証拠は2022年10月にさかのぼります。
- 2022年12月において、Citrixは自社のアプリケーション・デリバリー・コントローラー（ADC）における CVE-2022-27518 件の脆弱性が実環境で悪用されていることを報告しました。これについて、米国国家安全保障局（NSA）は、APT5 に起因するものと指摘しています。
- 2022年3月において、ソフォスは自社のファイアウォール製品において、 CVE-2022-1040 の実環境での悪用が確認されたと報告しました。これについて、Volexityは中国のサイバー諜報活動を行うグループとの関連性を指摘しています。
- マンディアント社は、 2020年8月 から 2021年3月 にかけて発生した複数の侵入事件について調査を行いました。これらの事件では、Pulse Secure VPN における CVE-2021-22893 の脆弱性が悪用されていました。
- 『 2021年3月』において、Mandiant社は、 のSonicWall「Email Security （ES）」製品で悪用されていた3つのゼロデイ脆弱性（CVE-2021-20021、 CVE-2021-20022、 CVE-2021-20023）を特定しました。 “
中国の攻撃者は、ボットネットやトンネルを利用して、外部および内部のトラフィックを偽装しています
マンディアント社は、侵害されたIoTデバイス、スマートデバイス、ルーターからなるボットネットを活用し、被害者の環境と C2 インフラ間の外部トラフィックを偽装する、中国のサイバー諜報活動の事例を、ますます頻繁に特定しています。
また、侵害されたネットワーク内で、脅威アクターのトラフィックを密かに中継できる複数のマルウェアファミリーが使用されている事例も、ますます多く確認されています。 こうした戦術は、検知を逃れ、犯行の特定を困難にするために用いられていると考えられます。
煙幕としてのボットネット
研究者らは、中国のサイバー諜報グループが、ボットネットを利用して、脅威アクターと被害者のネットワーク間のトラフィックを隠蔽している事例をいくつか特定しました。 この活動は、 APT41、 APT31、 APT15、TEMP.hex、Volt Typhoonなどによって行われているのが確認されました。
例としては、次のようなものがあります：
- 2023年5月において、マイクロソフトは、 に掲載された「Volt Typhoon」の活動 について報告し、これが米国の重要インフラ組織を標的としていることを明らかにしました。 この攻撃者は、乗っ取られたSOHO機器から構成されるボットネットを利用して、自身のネットワークトラフィックをルーティングしました。
- 2023年、チェック・ポイントは、「 Camaro Dragon」 という脅威アクターと、そのアクターが「Horse Shell」と呼ばれるカスタムバックドアを使用している実態について分析を行いました。 この活動は、欧州の外交機関を標的としたものであり、攻撃者はSSHで暗号化されたSOCKSプロキシを確立し、ファイルを転送することができました。
- 2022年、PwCは、台湾に拠点を置く乗っ取られたルーターのネットワークによって制御されていたVPSからコマンドを受信していた「BPFDOOR」マルウェアについて報告しました。 マンディアント社は、この活動が「 APT41」の活動と関連していると考えています。
- PwCはまた、 の「Red Vulture」（ ）を観察したことや、2021 および2022で「RedRelay」と呼ばれる共有プロキシネットワークが使用されていたことを報告しました。 このグループは、 APT15、 APT25、 Ke3changに対応していると思われます。
- フランスおよび米国の当局は、中国の国家が支援するアクターがネットワーク機器を悪用し、 C2 のインフラと被害者のネットワーク間でトラフィックをルーティングしていたことを指摘する公開報告書を発表しました。 米国 2022 号勧告では、ネットワーク接続ストレージ（NAS） デバイスに対する「 」の悪用について指摘しました。 第 2021 フランス軍諮問部は、第APT31部隊によるものとされる特定の作戦について記述しました。
- ESETは、 2021年2月において、香港の大学を攻撃するために使用されたLinux向けバックドア「SideWalk」を検知したことを報告しました。 マンディアント社は、こうした活動の大部分を「 APT41」（）によるものと分析しています。
また、マンディアント社は、中国とみられるサイバー諜報活動を行う者たちが、DNS、HTTP、およびTCP/IPのハイジャックを利用して、被害者のネットワーク内でのトラフィックを偽装するために、特注のマルウェアを展開している疑いのある証拠を確認しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「上記の戦術のほとんどは、中国のサイバー諜報活動を行う主体にとって目新しいものではなく、また、これらの主体に特有のものでもありません。」 マンディアント社は、中国のサイバー諜報活動主体が、これらの戦術を「より目的意識が高く、目立たず、かつ効果的な作戦へと向かう広範な進化」の一環としてどのように活用しているかを浮き彫りにすることを目的として、この情報をまとめました。
マンディアントが上記で詳述している事件は、いずれも成功した攻撃キャンペーンです。 「これは、これらの関係者が検知を回避するためにTTPの進化に注力していることが、成果を上げていることを示しています。」
これらのストーリーについて、何かご意見やご感想など、お聞かせいただけませんか？ や、Taniumのディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。