同じ標的、新たなプレイブック: 東アジアの脅威アクターは独自の手法を用いる

Gingham Typhoon、南太平洋諸島全域の政府機関、IT 機関、多国籍企業を標的に

2023 年夏、Microsoft 脅威インテリジェンスは、中国を拠点とするスパイグループ Gingham Typhoon による、ほぼすべての南太平洋島嶼国を標的とした広範な活動を確認しました。Gingham Typhoon はこの地域で最も活発な活動をしており、国際機関、政府機関、IT 部門を複雑なフィッシング キャンペーンで攻撃しています。被害者の中には、中国政府に対して声高に批判する人も含まれています。

最近の Gingham Typhoon の被害に遭った中国の外交的同盟国には、政府機関の事務局、貿易関連部門、インターネット サービス プロバイダー、運輸機関などが含まれます。

この地域における地政学的および外交的競争の激化が、こうした攻撃的サイバー活動の動機となっている可能性があります。中国は南太平洋島嶼国との戦略的パートナーシップを追求し、経済的結びつきを拡大し、 外交および安全保障協定を仲介しています。この地域における中国のサイバー スパイ活動は、経済的パートナーでさえも監視しています。

たとえば、中国のアクターは、パプアニューギニアの多国籍組織を大規模に標的としています。パプアニューギニアは長年の外交パートナーであり、パプアニューギニア政府の建物と首都の主要道路を結ぶ主要高速道路の建設などは、さまざまな一帯一路構想 (BRI) プロジェクトの恩恵を受けています。¹

西側諸国が軍事演習を行う中、中国の脅威アクターは南シナ海に焦点を当てる

中国を拠点とする脅威アクターは、南シナ海とその周辺における中国の経済的および軍事的利益に関連する団体を標的としてきました。これらの脅威アクターは、東南アジア諸国連合 (ASEAN) の政府機関や電気通信事業者を標的とし、日和見主義的な攻撃を仕掛けていました。中国の国家系サイバー アクターは、この地域で実施される多数の米軍訓練に関連する標的に特に関心を寄せているように思われました。2023 年 6 月、中国を拠点とする国家主導型活動グループである Raspberry Typhoon は、インドネシア、中国、米国が参加する珍しい多国間海軍演習の数週間前に、インドネシアの軍事機関や行政機関、マレーシアの海上システムを標的とすることに成功しました。

同様に、米国とフィリピンの軍事演習に関連する団体も、別の中国のサイバー アクターである Flax Typhoon の標的になりました。一方、中国を拠点とするもう 1 つの脅威アクターである Granite Typhoon は、この期間、インドネシア、マレーシア、フィリピン、カンボジア、台湾の電気通信事業者を主な標的としていました。

Microsoft が  Flax Typhoon に関するブログを公開して以来、2023 年の秋から冬にかけて、フィリピン、香港、インド、米国で Flax Typhoon の新たな標的が確認されています。² このアクターはまた、電気通信部門を頻繁に攻撃し、多くの下流効果を引き起こしています。

北朝鮮のサイバー アクターは 2023 年、暗号通貨で数億ドルを盗み、ソフトウェアのサプライ チェーン攻撃を行い、国家安全保障上の敵対者を標的にしました。彼らの作戦は北朝鮮政府 (特にその兵器関連プログラム) に利益をもたらし、米国、韓国、日本に関するインテリジェンスを収集しています。¹⁶

北朝鮮のサイバー アクターは、記録的な量の暗号通貨を略奪し、国家に収入をもたらす

国連は、北朝鮮のサイバー アクターが 2017 年以降、暗号通貨で 30 億米国ドル以上を盗んだと推定しています¹⁷。2023 年だけで、総額 6 億米国ドルから 10 億米国ドルの強奪が発生しています。これらの盗まれた資金は、北朝鮮の核およびミサイル プログラムの半分以上をまかない、制裁にもかかわらず北朝鮮の兵器拡散と実験を可能にしていると言われています¹⁸。北朝鮮は昨年、数多くのミサイル発射実験と軍事訓練を実施し、2023 年 11 月 21 日には軍事偵察衛星の宇宙への打ち上げにも成功しました。¹⁹

Microsoft が追跡している 3 つの脅威アクター (Jade Sleet、Sapphire Sleet、Citrine Sleet) は、2023 年 6 月以降、暗号通貨を標的とした攻撃を最も集中的に行っています。Jade Sleet は大規模な暗号通貨窃盗を行い、Sapphire Sleet は小規模ながらも頻繁に暗号通貨窃盗を行いました。Microsoft は、2023 年 6 月上旬にエストニアを拠点とする暗号通貨会社から少なくとも 3,500 万米国ドルを窃取したのは Jade Sleet によるものだとしています。Microsoft はまた、シンガポールを拠点とする暗号通貨プラットフォームから 1 億 2,500 万米国ドル以上が盗まれた事件についても、その 1 か月後に Jade Sleet によるものだとしています。Jade Sleet は 2023 年 8 月にオンライン暗号通貨カジノを危険にさらし始めました。

Sapphire Sleet は一貫して、暗号通貨、ベンチャー キャピタル、その他の金融組織の幹部や開発者を含む多数の従業員を侵害しました。Sapphire Sleet はまた、攻撃者ドメインへのリンクを含む偽の仮想会議招待状を送ったり、偽の求人募集サイトを登録したりするなどの新しいテクニックを開発しました。Citrine Sleet は、2023 年 3 月の 3CX サプライ チェーン攻撃に続き、トルコを拠点とする下流部門の暗号通貨およびデジタル資産会社を侵害しました。被害者は、サプライ チェーンの侵害にリンクされた脆弱なバージョンの 3CX アプリケーションをホストしていました。

スピアフィッシングやソフトウェア サプライ チェーン攻撃で IT 部門を脅かす北朝鮮のサイバー アクター

北朝鮮の脅威アクターは、IT 企業に対するソフトウェア サプライ チェーン攻撃も実施し、その結果、下流の顧客へのアクセスも手に入れました。Jade Sleet は、ソーシャル エンジニアリングによるスピアフィッシング キャンペーンで GitHub リポジトリと武器化された npm パッケージを使用し、暗号通貨やテクノロジ組織の従業員を標的にしました。²⁰ 攻撃者は開発者やリクルーターになりすまし、ターゲットに GitHub リポジトリでの共同作業を呼びかけ、悪意のある npm パッケージを含むそのコンテンツをクローンして実行するよう働きかけました。Diamond Sleet は、2023 年 8 月にドイツを拠点とする IT 企業のサプライ チェーン侵害を行い、2023 年 11 月には台湾を拠点とする IT 企業のアプリケーションを武器化してサプライ チェーン攻撃を行いました。Diamond Sleet と Onyx Sleet はいずれも、2023 年 10 月に TeamCity CVE-2023- 42793 の脆弱性を悪用し、攻撃者がリモート コード実行攻撃を行い、サーバーの管理者権限を取得できるようにしました。Diamond Sleet は、このテクニックを使用して、米国および英国、デンマーク、アイルランド、ドイツを含むヨーロッパ諸国のさまざまな業界で数百人の被害者を侵害しました。Onyx Sleet は、同じ脆弱性を悪用して、オーストラリアのソフトウェア プロバイダーやノルウェーの政府機関など、少なくとも 10 の被害者を侵害、侵害後のツールを使用して追加のペイロードを実行しました。

北朝鮮のサイバー アクター、米国、韓国、およびその同盟国を標的に

北朝鮮の脅威アクターは、自国の国家安全保障上の敵対者を標的にしていました。このサイバー活動は、米国、韓国、日本の 3 国間の同盟に対抗するという北朝鮮の地政学的目的を例証するものでした。3 か国の首脳は 2023 年 8 月のキャンプ デービッド首脳会談で、このパートナーシップを強固なものにしました²¹。Ruby Sleet と Onyx Sleet は継続して、米国と韓国の航空宇宙および防衛組織を標的としています。Emerald Sleet は、政府、シンクタンク/NGO、メディア、教育機関などの外交官や朝鮮半島の専門家を標的にした偵察とスピアフィッシング キャンペーンを継続して行いました。Pearl Sleet は、2023 年 6 月、脱北者や北朝鮮の人権問題に焦点を当てた活動家と関わっている韓国の団体を標的にした作戦を継続して行いました。Microsoft は、これらの活動の背後にある動機はインテリジェンスの収集であると評価しています。

北朝鮮のアクターが正規ソフトウェアにバックドアを実装

北朝鮮の脅威アクターは、既存のソフトウェアの脆弱性を利用して、正規ソフトウェアにバックドアを仕込むことも行っていました。2023 年前半、Diamond Sleet は、武器化した VNC マルウェアを頻繁に使用して被害者を侵害しました。また、Diamond Sleet は、2023 年 7 月に武器化された PDF リーダー マルウェアの使用を再開しており、この手法については、Microsoft 脅威インテリジェンスが 2022 年 9 月のブログ投稿で分析しています²² 。また、Ruby Sleet が、2023 年 12 月に韓国の電子文書プログラムのバックドア付きインストーラーを使用していたと思われます。

北朝鮮は AI ツールを活用して悪意のあるサイバー活動を可能にする

北朝鮮の脅威アクターは AI の時代に適応しつつあります。彼らは、AI 大規模言語モデル (LLM) を搭載したツールを使用して、作戦をより効率的かつ効果的にすることを学んでいます。たとえば、Microsoft と OpenAI は、Emerald Sleet が朝鮮半島の専門家をターゲットにしたスピアフィッシング キャンペーンを強化するために LLM を利用していることを確認しています²³ 。Emerald Sleet は LLM を使用して脆弱性を調査し、北朝鮮に焦点を当てた組織や専門家の偵察を行っています。Emerald Sleet はまた、LLM を使用して、技術的な問題のトラブルシューティング、基本的なスクリプティング タスクの実施、スピアフィッシング メッセージのコンテンツ作成を行っていました。Microsoft は OpenAI と提携し、Emerald Sleet に関連するアカウントと資産を無効にしました。