ダブルドラゴン（ハッキンググループ）

ダブルドラゴン（別名APT41、BARIUM、Axiom、Winnti、Wicked Panda、Wicked Spider、^[1] TG-2633、Bronze Atlas、Red Kelpie、Blackfly、^[2]またはBrass Typhoon ^[3] ）は、中国国家安全部（MSS）とのつながりが疑われるハッキング組織です。 ^{[4]この組織は、}高度で持続的な脅威に分類されており、2020年9月に米国司法省によって、世界中の100社以上の企業に侵入した疑いで中国人5人とマレーシア人2人に対して提起された訴訟に関連して指定されました。^{[5] [6] [7] [8]}

2019年、サイバーセキュリティ企業ファイア・アイは、このグループは中国共産党（CCP）の支援を受け、金銭目的で活動していると確信を持って発表した。^[9]「ダブルドラゴン」という名前は、スパイ活動と個人の金銭的利益の追求という彼らの活動の二重性に由来している。^[10]彼らが使用するデバイスは通常、国家支援の諜報活動に使用されている。

FireEyeが実施した調査により、APT 41が医療、通信、テクノロジーなどの複数の分野で活動していることが判明しました。^[9]このグループは、開発スタジオ、販売会社、出版社など、ビデオゲーム業界で多くの金融活動を行っています。^[11]

APT 41は、以前の活動で「張旭光」（簡体字中国語：张旭光）および「Wolfzhi」という名で登録されたドメインを使用していました。これらのオンラインペルソナは、APT 41の活動および特定の中国語オンラインフォーラムに関連付けられていますが、このグループで活動している他の個人の数は不明です。^[9]「張旭光」は、オンラインフォーラムのChinese Hackers Alliance（簡体字中国語：华夏黑 客同盟）で活動しています。この個人に関連する情報には、生年月日が1989年であることと、以前は中華人民共和国の内モンゴルに住んでいたことが含まれます。^[12]このペルソナは、2011年に「injuriesa」という名で、Age of Wushuオンラインゲームに関するフォーラムにも投稿しました。 ^[9]「Wolfzhi」に関連付けられた電子メールとオンラインドメインは、データサイエンスコミュニティのプロファイルにもつながります。フォーラムの投稿では、この人物は北京か近隣の河北省出身であるとも示唆されている。 [ ^{9] [12]}

FBIはAPT41とつながりがあると判明したハオラン・チャン、ダイリン・タン、チュアン・チエン、チアン・フー、リジー・ジャンの指名手配を発表した。^[1]チャンとタンは2019年8月15日、コロンビア特別区の大陪審により、保護されたコンピュータへの不正アクセス、悪質な個人情報窃盗、マネーロンダリング、通信詐欺などのハッキング犯罪に関連する罪で起訴された。 ^[13]これらの行為は、2人が共謀していた間に、ハイテク企業、ビデオゲーム会社、米国と英国の無名の個人6人に対して行われた。FBIはまた、2020年8月11日にチエン、フー、ジャンを組織犯罪、マネーロンダリング、詐欺、個人情報窃盗の罪で起訴した。^[13] 3人はいずれも成都404ネットワークテクノロジー社の経営陣の一員であり、3人と同僚は通信、メディア、セキュリティ、政府などの業界の企業や個人に対するサイバー攻撃を計画していた。^[14]このような作戦は、米国、ブラジル、ドイツ、インド、日本、スウェーデン、インドネシア、マレーシア、パキスタン、シンガポール、韓国、台湾、タイなどの国で実行される予定だった。^[1]

2020年8月、ウォン・オン・フアとリン・ヤン・チンの両名は、恐喝、共謀、個人情報窃盗、悪質な個人情報窃盗、詐欺などの罪で起訴された。^[1]米国司法省は、この2人のマレーシア人ビジネスマンは中国のハッカーと協力して、米国、フランス、韓国、日本、シンガポールのビデオゲーム会社を標的にし、これらの活動から利益を得ていたと述べている。^[15]これらの計画、特にゲーム業界を巻き込んだ一連のコンピューター侵入は、ウォンが設立したマレーシアの会社シー・ゲーマー・モールの名義で行われた。^[1] 2020年9月14日、マレーシア当局はシタワンで両名を逮捕した。^[1]

APT 41の活動は、中国政府に支援されたスパイ活動と、活動休止中に国家の許可を得ずに金銭目的で行われる活動のバランスから、 「副業」と表現されている。 ^{[9] [16] [17]}そのため、特定の事件が国家の指示によるものかどうかを判断するのは困難である。^[18]この組織は14か国、特に米国に対して複数の作戦を実行した。このような活動には、追跡、企業のサプライチェーンの侵害、監視データの収集などの事件が含まれる。^[19] 2022年、APT 41は米国で少なくとも2,000万ドルのCOVID-19救援金の盗難に関与したとされている^[20]

APT 41は、通常、中国政府のみが保有するサイバースパイ マルウェアを使用しています。 ^{[21]この特徴は、他の高度な持続的脅威に共通しており、これにより、知名度の高いターゲットをスパイするための情報を入手したり、}国家の利益に資する情報を得るために彼らと接触したりすることができます。^{[22] APT 41と中国政府との関係は、これらの情報が}ダークウェブ上に存在せず、中国共産党が入手できる可能性があるという事実によって証明されています。 ^[23]

APT41の標的は、中国政府が高度な研究開発分野に進出し、生産能力を高めるという国家計画と一致している。このような取り組みは、中国の生産を医薬品、半導体、その他のハイテク分野などの高付加価値分野に移行することを目指した中国政府の「中国製造2025 」計画と一致している。^{[9] [24]}

FireEyeはまた、APT 41が中国政府に関連する契約業務に従事している可能性についても中程度の確信を持って評価している。同グループに関係する人物は、以前、ハッカーとして雇用されると宣伝していた。彼らが個人的な目的や金銭目的の活動でHOMEUNIXやPHOTOを使用していることも、この姿勢の証拠である。これらは、他の国家支援を受けたスパイ活動家が使用する、一般にはアクセスできないマルウェアである。^[9]中国では、より熟練したハッカーはより高い報酬のため、政府との契約に基づいて民間部門で働く傾向があることも認識されている。^{[25] FireEyeの報告書はまた、} APT 10のような以前の中国の高度で持続的な脅威によって実証されているように、中国政府はサイバースパイ活動に重点を置いた他の国家活動の支援を請負業者に依存していると指摘している。^{[9] [26]} APT41は、中国政府に雇用され利用されている熟練した中国国民で構成されている可能性があると一部の人々は考えており、グループのメンバーは活動時間を考慮すれば2つの仕事を掛け持ちしていることが多いと推測されている。^{[9] [27]}

APT 41 の活動手法は、特に従来のバックドアと比較してパッシブバックドアの使用において独特です。他の高度で持続的な脅威が使用する従来のバックドアは簡単に検出できますが、この手法は多くの場合、識別がはるかに困難です。 ^[9]金銭目的の APT 41 の活動で使用されている手法には、ソフトウェアサプライチェーンの侵害も含まれます。これにより、配布される正規のファイルにコードを挿入して実装することができ、データの盗難やシステムの改ざんによって他の組織を危険にさらします。^[28] 高度なマルウェアも、検出されずにデータを抽出するためによく使用されます。^[27] ブートキットも、このグループが使用するマルウェアの一種であり、検出が難しく、他のサイバースパイグループやサイバー犯罪グループの間で見つけるのが難しいため、セキュリティシステムが悪意のあるコードを検出するのが難しくなります。^[9] また、検出されずに即座に偵察を行うために、Deadeye ランチャーと Lowkey マルウェアを使用しました。^[29]

APT 41は、サイバースパイ活動と金融攻撃の両方でスピアフィッシングメールを頻繁に使用しています。^[11]このグループは、成功の可能性を高めるために個人データを収集した後、高位のターゲットから情報を取得しようとする誤解を招くメールを多数送信しています。^{[30]ターゲットは、スパイ活動のためのメディアグループから金銭的利益のための}ビットコイン取引所まで多岐にわたります。^[9]

スパイ活動

APT 41 の標的は、中国の国家戦略や目標、特にテクノロジーに関するものと相関関係にあると FireEye は見なしている。^{[9] [27] [31]}ハイテク企業を標的にすることは、第 12 次および第 13 次 5 カ年計画で示されているように、国内でハイテク機器を開発するという中国の関心と一致している。^[9]さまざまな分野の組織への攻撃は、APT 41 が特定のタスクを遂行していることを示していると FireEye は考えている。APT 41 による攻撃キャンペーンは、このグループが主要な政治および金融イベントの前に情報を入手するために使用されていることも示している。^{[9] [31]}彼らは、フランス、インド、イタリア、日本、ミャンマー、オランダ、シンガポール、韓国、南アフリカ、スイス、タイ、トルコ、英国、米国を含む 14 か国 (および香港) の企業を攻撃している。^[32]彼らは、医療、通信、テクノロジーなど、さまざまな業界でも発見されている。^[32]

FireEyeのセキュリティカンファレンスによると、リモートでシステムを制御することができる同名の人気ソフトウェアを開発しているドイツ企業TeamViewer AGは、2016年6月にAPT 41にハッキングされた。 ^[33]このグループは世界中のTeamViewerユーザーのシステムにアクセスし、経営の詳細や企業に関する情報を入手することができた。^{[33] 2021年にAPT 41はインドで複数のフィッシング詐欺を仕掛け、} BlackBerry Research and Intelligenceによって発見された。彼らはまた、新しい税法やCOVID-19の記録と統計に関するデータを盗んだ。このグループは、発見されないようにインド政府を装っていた。 ^[34]

経済的動機による活動

APT 41は、金銭目的の活動の大半をビデオゲーム業界に向ける。^[9]中国のインターネットフォーラムによると、APT 41とつながりのある関連メンバーは、中国の勤務時間外にハッキングスキルを宣伝して利益を得ていた。^{[27] FireEyeが報告したある事例では、このグループは仮想ゲーム通貨を生成し、それを地下市場や}ロンダリングスキームを通じて買い手に販売することができ、 ^{[1] [9] [19]}最高30万ドルで販売できた可能性がある。^{[31]グループが金を集めるために使用する典型的な方法ではないが、APT 41は活動から利益を得るために}ランサムウェアを展開しようとしたこともある。^[9]

FireEyeは、APT 41の金銭目的の活動のほとんどが深夜または早朝に発生するため、これらの活動はスパイ活動とはまったく関係がない可能性があると報告しています。^{[9] FireEyeは、APT 41の活動は平均して}中国標準時の10:00から23:00の間に行われており、これは「 996 」勤務スケジュールに従う中国の技術労働者にとって典型的な時間帯であると報告しています。^[9]

APT 41は、ビデオゲームの開発者やプロデューサーから取得したデジタル証明書を使用してマルウェアに署名します。 ^{[1] [35]} 19を超えるさまざまなデジタル証明書を適用することで、ゲーム組織と非ゲーム組織の両方をターゲットにし、検出を回避し、ターゲットのシステムとの互換性を確保します。^[9] 2012年、APT 41は韓国のゲームパブリッシャーからの証明書を利用して、ゲーム業界の他のメンバーに対して使用するマルウェアに署名しました。^{[9] 2021年、APT 41は}中国の違法ギャンブル業界に対して一連の攻撃を開始しました。^[36]

2020年9月16日、米国司法省は、世界中の100社以上の企業をハッキングしたとして、5人の中国人と2人のマレーシア人に対して以前に封印されていた告訴を公開した。^{[1] [37]}これらには、ソーシャルメディア、大学、通信事業者、ソフトウェア開発、コンピュータハードウェア、ビデオゲーム、非営利団体、シンクタンク、外国政府、香港の民主化支持者に関わる企業が含まれている。^{[1] [38]}攻撃には、コード、コード署名証明書、顧客データ、ビジネス情報の盗難が含まれていたと言われている。^[37]ジェフリー・ローゼン副司法長官は、これらの行為には、ハッカーがソフトウェアに「バックドア」を仕掛け、ソフトウェアプロバイダーの会社のシステムに直接アクセスできるようにすることが含まれていたと述べている。 ^[39]中国人ハッカーのうち2人は、米国のゲーム業界にも攻撃を行い、ニューヨーク、テキサス、ワシントン、イリノイ、カリフォルニア、英国の少なくとも6つの企業が関与していた。^[37]

コロンビア特別区の米国地方裁判所は、ハッカーが活動に使用したアカウント、サーバー、ドメイン名、ウェブページの差し押さえを求める令状を発行した。FBIは他の民間企業と同様に令状を執行する責任を負っていた。^[1]マイクロソフトも、被害者のコンピュータシステムへの継続的なアクセスを防ぐための技術的対策を開発した。連邦捜査局は、民間グループが利用できる技術情報を含む報告書を発表した。^[1]

司法省は、一般的に外国人ハッカーの逮捕は困難であることから、マレーシア政府、特にマレーシア検事総長室とマレーシア王立警察がマレー人2人の逮捕に協力し支援したことを称賛した。 ^{[1] [38]}プレスリリースでは、捜査に協力したグループとしてマイクロソフト、グーグル、フェイスブック、ベライゾンメディアが挙げられている。^[1] FBIはまた、カリフォルニアに設置されたAPT41のサーバーを発見した後、米国当局に情報提供を支援した台湾司法省捜査局にも功績を認めた。 ^{[40] [41]}

対照的に、ローゼン氏は、APT41に関与した5人の中国人ハッカーの逮捕に関してFBIに協力しなかった中国共産党を批判した。 ^{[38] [39]}ローゼン氏はまた、中国共産党がスパイ活動で彼らの支援を続けることで「中国をサイバー犯罪者にとって安全な場所にしている」と主張した。^[39]中国外務省の報道官、汪文斌氏は、米国は自国のサイバーセキュリティ問題を利用して、偽情報の拡散や政治的操作を通じて「中国を攻撃」していると述べた。^[37]

この発表はドナルド・トランプ大統領の再選キャンペーン中に行われ、中国共産党をさまざまなサイバースパイ攻撃に関連付けた。ロシアやイランと並んで、中国は選挙に対する国家脅威評価で特定された。^{[39] [42]}

APT 41は、BariumやWinntiなどの他のグループの活動と重複している。^[2]技術面では、デジタル証明書とマルウェアに多くの重複がある。FireEyeによると、最も顕著な類似点の1つは、さまざまな活動領域で同様のマルウェア、特にHIGHNOONを使用していることである。^[2] HIGHNOONマルウェアの使用はFireEyeによって報告され、APT 15グループ（Ke3chang、Vixen Panda、GREF、Playful Dragonとしても知られる）に分類された。^[9]しかし、これは後に、ツールと戦略を共有する複数の中国グループによる行為であることが判明した。ビデオゲーム会社YNKジャパンが配布したデジタル証明書は、APT41のほか、APT17やAPT20などの他のAPTグループでも使用されていました。^[9] Microsoft 証明機関が発行したとされるデジタル証明書も、APT41とAPT40で使用されていました。^[9] APT41が使用した非公開のマルウェアは、他の中国政府が支援しているとされるグループと関連付けられており、APT41が他のグループとリソースを共有していることを示している可能性があります。^{[9] [17]}

• レッドアポロ
• APT40