Winnti – IoT OT Security News

中国のサイバースパイ Volt Typhoon／APT31／APT41：５年間にわたる活動の詳細 – Sophos 調査

Pacific Rim: Sophos Exposes 5 Years of Chinese Cyber Espionage

2024/11/03 SecurityOnline — Sophos X-Ops の最新レポート “Pacific Rim” は、中国を拠点とする脅威グループを追跡し、インド太平洋地域の高価値インフラ／政府機関を、５年間にわたり標的としてきたキャンペーンを明らかにするものだ。これらの活動で用いられる戦術には、特注のマルウェアや、ステルス性の持続的機能だけではなく、高度な運用セキュリティなどがあるという。Sophos は、他のサイバーセキュリティ企業／法執行機関／政府機関との共同調査により、これらの攻撃を、Volt Typhoon／APT31／APT41 (Winnti) などの悪名高い国家支援グループと関連付けている。

中国由来の APT41 が復活：世界のロジスティクスやテクノロジーなどの産業を狙っている – Mandiant

Chinese Hacking Group APT41 Infiltrates Global Shipping and Tech Sectors, Mandiant Warns

2024/07/18 SecurityWeek — ヨーロッパとアジアの海運／ロジスティクス／テクノロジー／自動車産業の組織に侵入したとして摘発された、中国政府が支援する多発ハッキング・チーム APT41 によるマルウェア攻撃が、大規模なレベルで復活していることを、Mandiant の研究者たちが指摘している。Mandiant の警告によると、侵入された組織の大部分は英国／イタリア／スペイン／トルコ／タイ／台湾にあるという。これらの組織に侵入した APT41 は、遅くとも 2023年以降において、不正アクセスを長期にわたって維持することに成功しているようだ。

Earth Lusca の SprySOCKS という Linux バックドア：中国から各国の政府機関を狙っている

Earth Lusca’s New SprySOCKS Linux Backdoor Targets Government Entities

2023/09/19 TheHackerNews — Earth Lusca と呼ばれる中国由来の脅威アクターが、SprySOCKS という未知の Linux バックドアを用いて、各国の政府機関を標的としていることが確認された。Earth Lusca は、2022年1月に Trend Micro により初めて文書化され、アジア／オーストラリア／ヨーロッパ／北米の公共機関および民間企業に対する攻撃の詳細が報告された。この 2021年から活動しているグループは、スピアフィッシングや水飲み場攻撃を利用して、サイバー・スパイ活動を展開している。なお、その活動の一部は、RedHotel という名前で Recorded Future が追跡している、別の脅威クラスターと重複している。

WyrmSpy／DragonEgg スパイウェア：Android ユーザーを狙う APT41 の新戦略

APT41 hackers target Android users with WyrmSpy, DragonEgg spyware

2023/07/20 BleepingComputer — 中国に支援されるハッキング・グループ APT41 が、WyrmSpy と DragonEgg と命名された２つの新種のスパイウェアで、Android デバイスを標的にしていると、Lookout のセキュリティ研究者たちが警告している。 APT41 は最も古い APT ハッキング・グループの１つであり、米国／アジア／ヨーロッパなどの様々な産業を標的としてきた。このグループが攻撃する分野は、ソフトウェア開発／ハードウェア製造／シンクタンク／通信事業者／大学／海外政府などであり、さまざまな組織／事業体に対してサイバースパイ・オペレーションを仕掛けている。

Earth Longzhi という中国ハッカー・グループ：DLL 悪用マルウェアでアジアを狙う

Chinese Hacker Group Earth Longzhi Resurfaces with Advanced Malware Tactics

2023/05/03 TheHackerNews — 中国の国家支援ハッカー集団が再登場し、台湾／タイ／フィリピン／フィジーなどの、政府／医療／テクノロジー／製造業を標的とする、新たなキャンペーンを展開している。この Earth Longzhi グループは、APT41 (別名 HOODOO／Winnti) のサブグループであり、半年以上も活動を停止していたが、Earth Baku／SparklingGoblin／GroupCC などのクラスターと重複した動きを見せている。Earth Longzhi は、2022年11月にサイバー・セキュリティ企業により検出され、東アジア／東南アジア／ウクライナなどの組織への攻撃が分析されている。

Google レッドチーム・ツールの悪用：中国の APT41 による攻撃で発見される

Hackers abuse Google Command and Control red team tool in attacks

2023/04/17 BleepingComputer — 台湾のメディアとイタリアの就職支援会社に対するデータ窃取攻撃において、中国の国家支援ハッキング・グループ APT41 が、レッドチーム・ツール GC2 (Google Command and Control) を悪用していたことが判明した。APT41 は HOODOO とも呼ばれ、米国／欧州／アジアにおける広範な業界をターゲットにすることで知られる、中国政府に支援されたハッキング・グループである。2014年から Mandiant は、このハッキング・グループを追跡しており、その活動は BARIUM や Winnti といった、その他の中国のハッキング・グループと重複すると述べている。

Winnti ハッキング・グループの戦略：Cobalt Strike を 154 分割して検出を回避

Winnti hackers split Cobalt Strike into 154 pieces to evade detection

2022/08/18 BleepingComputer — 中国の Winnti は、APT41 または Wicked Spider とも呼ばれるハッキング・グループであり、昨年の成果として、少なくとも 80の組織を標的にし、少なくとも 13の組織のネットワーク侵入に成功した。このハッキング・グループの活動を追跡してきた、Group-IB の研究者たちによると、2021年は Wintti が最も激しく動いた１年であったという。

中国 APT41 動きを捕捉：米国州政府のネットワークをゼロデイ脆弱性で狙っている

U.S. State Governments Targeted by Chinese Hackers via Zero-Day in Agriculture Tool

2022/03/08 SecurityWeek — 中国政府に支援されていると思われる脅威グループが、ゼロデイ脆弱性などを悪用し、米国の州政府のネットワークに侵入していたことが明らかになった。サイバー・セキュリティの調査企業である Mandiant は、2021年5月に米国州政府のネットワークへの攻撃を調査するよう要請され、このキャンペーンに気づいたと、火曜日に公開したブログ記事で述べている。

Linux と IoT とマルウェア：2021年の調査結果は前年比で 35% 増

Linux malware sees 35% growth during 2021

2022/01/15 BleepingComputer — Linux デバイスを標的としたマルウェアの感染件数は、2021年に 35%増加しており、その多くは DDoS 攻撃のための IoT デバイスの取り込みが目標となっている。IoT デバイスは多様な Linux ディストリビューションを実行するが、一般的にパワー不足のスマート・デバイスであり、その機能も特定の範囲に制限されている。しかし、それらのリソースが、大規模なグループにまとめられると、十分に保護されたインフラに対して大規模な DDoS 攻撃を仕掛ける能力を持つことになる。

中国の国家支援 APT41 グループ：高スティルス性マルウェアを大量に展開している

Attacks by Prolific APT41 Tied to Chinese Government

2021/10/06 SecurityBoulevard — BlackBerry Research and Intelligence Unit の新たな調査により、中国の国家機関である APT41 は、これまで知られていたよりも多くのサイバー攻撃キャンペーンの背後にいることが分かった。研究者たちは、FireEye が以前に記録した、カスタマイズ可能な command-and-contro (C2) プロファイルを使用した、Cobalt Strike の活動の詳細に触発され、関連するマルウェア・キャンペーンを追跡した。そして、これまで気づかなかった攻撃間のつながりを発見し、パンデミックに対する人々の不安を利用した、キャンペーンの実態が明らかになった。

中国ハッキング・グループの Rootkit は Windows 10 をターゲットにスパイ活動を行う

Chinese Hackers Used a New Rootkit to Spy on Targeted Windows 10 Users

2021/10/01 TheHackerNews — これまで詳細が不明だった、中国語を話す脅威アクターだが、東南アジアのターゲットを狙い、侵害された Windows システムにカーネルモード Rootkit をデプロイするために、2020年7月の時点から回避操作を行っていたようだ。Kaspersky が GhostEmperor と名付けた、このハッキング・グループによる攻撃は、標的となったホストに対する持続性と遠隔操作を可能にする、洗練されたマルチステージのマルウェア・フレームワークを使用していたとも言われている。