無人潜水機など海事技術狙う「APT 40」 - 中国関与か

今回報告された「APT 40」の攻撃手法は幅広く、カスタマイズしたバックドアを用いたフィッシング攻撃やウェブへの侵害など、複数の手口で攻撃を展開。フィッシング攻撃では、公表から日が浅い脆弱性を悪用していた。「Googleドライブ」へのアクセスを狙ったケースもある。

組織内へ継続的なアクセスを実現するため、侵害したサーバで「ウェブシェル」などを利用。VPNやリモートデスクトップの認証情報などもターゲットにしていた。

また感染端末のコントロールに「GitHub」「Google」「Pastebin」など一般的に利用されている正規サイトを用いるケースが確認されている。

利用するマルウェアもバックドアをはじめ多彩でコード署名証明書を持つ実行ファイルなども用いていた。あわせて侵害した環境に存在する「Windows」のツールやソフトウェア、一般的に入手可能なツールなどを利用するいわゆる「現地調達」も行っていると指摘している。

「APT 40」による攻撃のライフサイクル（図：FireEye）

（Security NEXT - 2019/03/06 ）ツイート