MirrorFace APT: En vedvarende cybertrussel rettet mod Japan

En langvarig spionageoperation

Japans cybersikkerhedslandskab har stået over for en vedvarende udfordring i form af MirrorFace APT, en sofistikeret cyberspionagegruppe, der menes at have forbindelser til Kina. Denne trusselsaktør har orkestreret målrettede angreb siden mindst 2019, og fokuseret sin indsats på at infiltrere organisationer, virksomheder og højprofilerede personer i hele Japan. Myndigheder fra National Police Agency (NPA) og National Center of Incident Readiness and Strategy for Cybersecurity (NCSC) har peget på MirrorFace som en vigtig aktør inden for cyberoperationer, der har til formål at indsamle efterretninger knyttet til national sikkerhed og teknologiske fremskridt.

MirrorFace og dets forbindelser til APT10

MirrorFace, også kendt som Earth Kasha, betragtes som et datterselskab af den større APT10-gruppe, som har en historie med at udføre cyberspionageaktiviteter mod flere nationer. Gruppen har brugt en række brugerdefinerede og offentligt tilgængelige værktøjer til at udføre sine operationer, herunder ANEL, LODEINFO og NOOPDOOR (også kaldet HiddenFace).

Trusselsgruppen er kendt for at anvende spear-phishing-taktik og udnytte sikkerhedssårbarheder til at infiltrere målrettede systemer. Mens Japan fortsat er det primære fokus, er dets operationer også blevet observeret i Taiwan og Indien, hvilket tyder på en bredere strategisk interesse.

Kampagner, der udfolder sig over tid

MirrorFaces aktiviteter er blevet kategoriseret i tre adskilte kampagner, der hver anvender specifikke teknikker og værktøjer til at bryde netværk og eksfiltrere data:

Målretning mod politiske og medieenheder (2019-2023)

Den første store kampagne, der strækker sig fra december 2019 til juli 2023, fokuserede på politiske institutioner, medier, regeringsorganer og forskningsorganisationer. Ved at implementere spear-phishing-e-mails distribuerede angriberne ondsindede nyttelaster såsom LODEINFO, NOOPDOOR og en tilpasset variant af Lilith RAT (LilimRAT), designet til informationsindsamling og fjernadgang.

Udnyttelse af sikkerhedssvagheder i kritiske industrier (2023)

En anden bølge af angreb fandt sted mellem februar og oktober 2023 og flyttede opmærksomheden til industrier, der er kritiske for Japans økonomiske og teknologiske infrastruktur. Sektorer som halvlederfremstilling, kommunikation, rumfart og akademi var primære mål. Denne fase involverede udnyttelse af kendte sårbarheder i internet-vendte enheder, især dem, der er forbundet med Array Networks, Citrix og Fortinet. Ved at udnytte disse svagheder implementerede angribere værktøjer som Cobalt Strike Beacon , LODEINFO og NOOPDOOR for at få fodfæste i virksomhedens netværk.

Seneste taktik og tilpasning (2024 – i dag)

Den seneste kendte kampagne, som dukkede op i juni 2024, har igen fokuseret på den akademiske verden, forskningsinstitutioner, politiske personer og mediepersonale. Spear-phishing er fortsat den primære metode til adgang, hvor angribere leverer ANEL (også kaldet UPPERCUT) for at kompromittere systemer og etablere vedvarende adgang.

Avancerede teknikker til stealth og persistens

MirrorFace har demonstreret en evne til at tilpasse sin taktik til at omgå moderne sikkerhedsforanstaltninger. En af dens bemærkelsesværdige teknikker involverer at bruge Visual Studio Code-fjerntunneler, som gør det muligt for gruppen at bevare hemmelig kontrol over kompromitterede systemer, mens de undgår opdagelse.

Derudover er gruppen blevet observeret udføre ondsindede nyttelaster i Windows Sandbox, en funktion designet til sikker applikationstest. Ved at køre skadelig kode i dette isolerede miljø sikrer angriberne, at spor af deres aktiviteter forsvinder, når systemet genstartes, hvilket forhindrer retsmedicinske analyser i at afsløre afgørende beviser.

Implikationer for cybersikkerhed og forsvar

Den fortsatte drift af MirrorFace fremhæver de udviklende cybertrusler, som Japan og den bredere Asien-Stillehavsregion står over for. I betragtning af gruppens fokus på national sikkerhed, teknologi og industri, kan dens aktiviteter have betydelige konsekvenser for både statslige politikker og sikkerhedsstrategier i den private sektor.

Organisationer, der opererer i højrisikosektorer, skal forblive på vagt og vedtage proaktive cybersikkerhedsforanstaltninger for at imødegå sådanne trusler. Dette omfatter styrkelse af e-mail-sikkerhed, regelmæssig opdatering af software for at rette kendte sårbarheder og implementering af avancerede registreringsværktøjer, der er i stand til at identificere usædvanlig netværksaktivitet.

En vedvarende cyberkonflikt

Aktiviteterne i MirrorFace APT understreger den vedvarende karakter af cyberspionage og vigtigheden af en koordineret cybersikkerhedsindsats. Mens myndighederne har været i stand til at spore og analysere gruppens metoder, forbliver den igangværende udfordring i at afbøde dens indvirkning og være på forkant med fremtidige angreb. Mens trusselsaktører fortsætter med at forfine deres teknikker, må nationer og organisationer forbedre deres forsvar for at beskytte følsomme oplysninger mod uautoriseret adgang.