Purdue Polytechnic faculty and executives gathered with representatives from Capture 3D/Zeiss, Howmet Aerospace and with peers in the industrial engineering program at Purdue to celebrate the recent i...

No video because contentid

Kuva: © Scanbox / Oscar Isaac ja Tiffany Haddish Paul Schraderin elokuvassa The Card Counter

研究者たちは、APT TA423によって実行された可能性が高いウォータリングホール攻撃を発見しました。この攻撃は、JavaScriptベースの偵察ツールであるScanBoxを設置しようとしています。 中国を拠点とする脅威アクターが、ScanBox偵察フレームワークの配布を強化しており、オーストラリア国内の組織や南シナ海の海外エネルギー企業が被害者に含まれています。高度な脅威グループ（APT）が使用する餌は、オーストラリアのニュースサイトにリンクしているかのように見せかけたターゲットメッセージです。 サイバー諜報キャンペーンは、Proofpointの脅威リサーチチームとPwCの脅威インテリジェンスチームによる火曜日のレポートによると、2022年4月から2022年6月中旬にかけて開始されたと考えられています。 研究者によると、この脅威アクターは中国を拠点とするAPT TA423、別名Red Ladonであると考えられています。「Proofpointは、中程度の確信をもって、この活動が脅威アクターTA423 / Red Ladonに帰属すると評価しています。複数のレポートが中国の海南島を拠点としていると評価しています」とレポートは述べています。 このAPTは最近、起訴で知られています。「2021年に米国司法省が起訴した際、TA423 / Red Ladonが海南省国家安全省（MSS）に長期間の支援を提供していると評価されました」と研究者は述べています。 MSSは中華人民共和国の民間情報機関、治安機関、サイバー警察機関です。防諜、対外情報、政治的安全保障、および中国による産業・サイバー諜報活動に関与していると考えられています。 ScanBoxの再利用 このキャンペーンはScanBoxフレームワークを活用しています。ScanBoxはカスタマイズ可能で多機能なJavaScriptベースのフレームワークで、敵対者が秘密裏に偵察を行うために使用されます。 ScanBoxは約10年にわたり敵対者によって使用されており、犯罪者がターゲットのシステムにマルウェアを設置することなく、カウンターインテリジェンスを実行できる点で注目されています。 「ScanBoxは特に危険です。なぜなら、情報を盗むためにマルウェアをディスクに展開する必要がなく、キーロギング機能はJavaScriptコードがウェブブラウザで実行されるだけで十分だからです」とPwCの研究者は過去のキャンペーンについて述べています。 マルウェアの代わりに、攻撃者はウォータリングホール攻撃と組み合わせてScanBoxを使用できます。敵対者は悪意のあるJavaScriptを侵害されたウェブサイトにロードし、ScanBoxが感染したウォータリングホールサイト上でユーザーのすべての入力活動を記録するキーロガーとして機能します。 TA423の攻撃は「病欠」「ユーザーリサーチ」「協力依頼」などのタイトルのフィッシングメールから始まりました。これらのメールはしばしば架空の組織「Australian Morning News」の従業員から送られてきたように装われていました。その従業員はターゲットに「ささやかなニュースサイト」australianmorningnews[.]comを訪れるよう促しました。 「リンクをクリックしてサイトにリダイレクトされると、訪問者にはScanBoxフレームワークが提供されました」と研究者は記しています。 そのリンクは、BBCやSky Newsなど実際のニュースサイトからコピーされたコンテンツを持つウェブページにターゲットを誘導しました。同時に、ScanBoxマルウェアフレームワークも配布されました。 ウォーターホールから収集されたScanBoxキーロガーデータは多段階攻撃の一部であり、攻撃者に潜在的なターゲットについての洞察を与え、将来の攻撃に役立てます。この手法はしばしばブラウザフィンガープリンティングと呼ばれます。 最初の主要なスクリプトは、ターゲットコンピュータのオペレーティングシステム、言語、インストールされているAdobe Flashのバージョンなどの情報リストを取得します。ScanBoxはさらに、ブラウザ拡張機能、プラグイン、WebRTCなどのコンポーネントのチェックも行います。 「このモジュールはWebRTCを実装しています。WebRTCはすべての主要ブラウザでサポートされている無料かつオープンソースの技術で、ウェブブラウザやモバイルアプリケーションがアプリケーションプログラミングインターフェース（API）を介してリアルタイム通信（RTC）を行うことを可能にします。これにより、ScanBoxは事前に設定されたターゲット群に接続できます」と研究者は説明しています。 敵対者は次にSTUN（Session Traversal Utilities for NAT）と呼ばれる技術を利用できます。これはネットワークプロトコルを含む標準化された一連の手法で、インタラクティブな通信（リアルタイム音声、ビデオ、メッセージングアプリケーションを含む）がネットワークアドレス変換（NAT）ゲートウェイを通過できるようにします、と研究者は説明しています。 「STUNはWebRTCプロトコルでサポートされています。インターネット上のサードパーティSTUNサーバーを通じて、ホストはNATの存在を検出し、NATがアプリケーションのユーザーデータグラムプロトコル（UDP）フローのために割り当てたマッピング済みIPアドレスとポート番号を発見できます。ScanBoxはInteractive Connectivity Establishment（ICE）の一部としてSTUNサーバーを使ったNATトラバーサルを実装しています。ICEはクライアント同士ができるだけ直接通信できるようにするピアツーピア通信手法で、NATやファイアウォール、その他のソリューションを介さずに通信できます」と研究者は述べています。 「つまり、ScanBoxモジュールはICE通信をSTUNサーバーに設定し、被害者マシンがNATの背後にあっても通信できるのです」と彼らは説明しています。 脅威アクター 脅威アクターは「南シナ海に関連する事項、特に最近の台湾情勢の緊張時にも中国政府を支援しています」とProofpointの脅威リサーチ・検知担当副社長Sherrod DeGrippo氏は声明で説明しています。「このグループは特に、地域で誰が活動しているかを知りたがっており、確実とは言えませんが、海軍関連の問題への関心はマレーシア、シンガポール、台湾、オーストラリアなどで今後も続くでしょう。」 このグループは過去にオーストララシアを大きく超えて活動を拡大しています。2021年7月の米司法省の起訴状によると、同グループは「米国、オーストリア、カンボジア、カナダ、ドイツ、インドネシア、マレーシア、ノルウェー、サウジアラビア、南アフリカ、スイス、英国の被害者から営業秘密や機密ビジネス情報を盗んだ」とされています。標的となった業界には航空、防衛、教育、政府、医療、バイオ医薬品、海事などが含まれます。 DoJの起訴にもかかわらず、アナリストたちは「TA423の作戦ペースに明確な混乱は見られない」とし、「TA423 / Red Ladonが引き続き情報収集と諜報活動を追求すると総じて予想しています」と述べています。 翻訳元:

研究者たちは、APT TA423によって実行された可能性が高いウォータリングホール攻撃を発見しました。この攻撃は、ScanBoxというJavaScriptベースの偵察ツールを設置しようとしています。 中国を拠点とする脅威アクターが、ScanBox偵察フレームワークの配布を強化しており、被害者にはオーストラリア国内の組織や南シナ海の海外エネルギー企業が含まれています。高度な脅威グループ（APT）が用いる餌は、オーストラリアのニュースサイトにリンクしているかのように装った標的型メッセージです。 このサイバースパイ活動は、Proofpointの脅威リサーチチームとPwCの脅威インテリジェンスチームによる火曜日のレポートによると、2022年4月から2022年6月中旬にかけて開始されたと考えられています。 研究者によれば、この脅威アクターは中国を拠点とするAPT TA423、別名Red Ladonであると考えられています。「Proofpointは、中程度の確信をもって、この活動が脅威アクターTA423／Red Ladonによるものであると評価しています。複数のレポートが中国の海南島を拠点として活動していると評価しています」とレポートは述べています。 このAPTは最近、起訴されたことで知られています。「米国司法省による2021年の起訴状では、TA423／Red Ladonが海南省国家安全省（MSS）に長期的な支援を提供していると評価されています」と研究者は述べています。 MSSは中華人民共和国の民間情報機関、治安機関、サイバー警察機関です。対諜報、対外情報、政治的安全保障、そして中国による産業スパイやサイバースパイ活動に関与していると考えられています。 ScanBoxの再活用 このキャンペーンはScanBoxフレームワークを活用しています。ScanBoxは、敵対者が秘密裏に偵察を行うために使用する、カスタマイズ可能で多機能なJavaScriptベースのフレームワークです。 ScanBoxは約10年にわたり敵対者によって使用されており、犯罪者がターゲットのシステムにマルウェアを設置せずにカウンターインテリジェンスを行える点で注目されています。 「ScanBoxは特に危険です。なぜなら、情報を盗むためにマルウェアをディスクに展開する必要がなく、キーロギング機能は単にJavaScriptコードがウェブブラウザで実行されるだけで済むからです」とPwCの研究者は以前のキャンペーンについて述べています。 マルウェアの代わりに、攻撃者はウォータリングホール攻撃と組み合わせてScanBoxを使用できます。敵対者は悪意のあるJavaScriptを侵害されたウェブサイトにロードし、ScanBoxが感染したウォータリングホールサイト上でユーザーのすべての入力活動を記録するキーロガーとして機能します。 TA423の攻撃は、「病欠」「ユーザーリサーチ」「協力依頼」などのタイトルのフィッシングメールから始まりました。これらのメールはしばしば架空の組織「Australian Morning News」の従業員から送られてきたように装われていました。その従業員はターゲットに「ささやかなニュースサイト」australianmorningnews[.]comを訪問するよう促しました。 「リンクをクリックしてサイトにリダイレクトされると、訪問者にはScanBoxフレームワークが提供されました」と研究者は記しています。 そのリンクは、BBCやSky Newsなど実際のニュースサイトからコピーしたコンテンツを掲載したウェブページへターゲットを誘導しました。同時に、ScanBoxマルウェアフレームワークも配布されました。 ウォーターホールから収集されたScanBoxキーロガーデータは多段階攻撃の一部であり、攻撃者に今後の攻撃に役立つ潜在的ターゲットについての洞察を与えます。この手法はしばしばブラウザフィンガープリントと呼ばれます。 最初の主要スクリプトは、ターゲットコンピュータのオペレーティングシステム、言語、インストールされているAdobe Flashのバージョンなどの情報リストを取得します。ScanBoxはさらに、ブラウザ拡張機能、プラグイン、WebRTCなどのコンポーネントのチェックも実行します。 「このモジュールはWebRTCを実装しています。WebRTCはすべての主要ブラウザでサポートされている無料かつオープンソースの技術であり、ウェブブラウザやモバイルアプリケーションがアプリケーションプログラミングインターフェース（API）を介してリアルタイム通信（RTC）を行うことを可能にします。これにより、ScanBoxは事前に設定されたターゲットに接続できます」と研究者は説明しています。 敵対者は次に、STUN（Session Traversal Utilities for NAT）と呼ばれる技術を利用できます。これは、ネットワークプロトコルを含む標準化された一連の手法であり、リアルタイムの音声、ビデオ、メッセージングアプリケーションなどのインタラクティブ通信がネットワークアドレス変換（NAT）ゲートウェイを通過できるようにするものです、と研究者は説明しています。 「STUNはWebRTCプロトコルでサポートされています。インターネット上のサードパーティSTUNサーバーを介して、ホストはNATの存在を検出し、NATがアプリケーションのユーザーデータグラムプロトコル（UDP）フロー用にリモートホストに割り当てたIPアドレスとポート番号を発見できます。ScanBoxは、ICE（Interactive Connectivity Establishment）の一部としてSTUNサーバーを利用したNATトラバーサルを実装しています。ICEは、クライアント同士が可能な限り直接通信できるようにするピアツーピア通信手法であり、NATやファイアウォール、その他のソリューションを介さずに通信できるようにします」と研究者は述べています。 「つまり、ScanBoxモジュールはSTUNサーバーへのICE通信を確立し、被害者のマシンがNATの背後にあっても通信できるということです」と彼らは説明しています。 脅威アクター 脅威アクターは「南シナ海に関連する問題で中国政府を支援しており、最近の台湾情勢でも同様です」とProofpointの脅威リサーチ＆ディテクション担当副社長Sherrod DeGrippo氏は声明で説明しました。「このグループは特に、地域で誰が活動しているかを知りたがっており、確実とは言えませんが、海軍関連の問題への関心はマレーシア、シンガポール、台湾、オーストラリアなどの地域で今後も変わらず続くでしょう。」 このグループは過去にはオーストララシアをはるかに超えて活動を拡大しています。米国司法省による2021年7月の起訴状によれば、同グループは「米国、オーストリア、カンボジア、カナダ、ドイツ、インドネシア、マレーシア、ノルウェー、サウジアラビア、南アフリカ、スイス、イギリスの被害者から、企業秘密や機密ビジネス情報を盗んだ」とされています。標的となった業界には、航空、防衛、教育、政府、医療、バイオ医薬品、海事などが含まれます。 DoJの起訴にもかかわらず、アナリストは「TA423の活動ペースに明確な混乱は観測されていない」とし、「TA423／Red Ladonが今後も情報収集とスパイ活動の任務を継続することが予想される」と述べています。 翻訳元: