中国のAPT、複数年にわたる作戦で韓国を標的に

中国国家主導による大規模なサイバースパイ活動が数年にわたって行われ、韓国の学術、政治、政府機関が標的となっている。

コード名 TAG-74 で活動している Recorded Future の Insikt Group が、このキャンペーンを特定しました。彼らは敵対者を中国の軍事情報機関と結び付け、韓国、日本、ロシアの学術、航空宇宙、防衛、政府、軍事、政治組織への影響について懸念を表明した。

サイバーセキュリティ会社は、特に米国との戦略的関係を考慮して、韓国の学術機関の標的は、知的財産の窃盗に関与し影響力を増大させるという中国の広範な戦略の一環であると特徴付けている。

おとりとして使用されるヘルプ ファイル

中国の APT はソーシャル エンジニアリング技術を採用し、Microsoft Compiled HTML Help (CHM) ファイルを餌として利用します。これらのファイルは、ReVBShell という名前のオープンソース Visual Basic Script バックドアのカスタマイズされたバージョンを導入します。このバックドアは、その後、Bisonal リモート アクセス トロイの木馬の展開を容易にします。

ReVBShell は、指定された期間休止状態を維持するように設計されており、リモート コマンドを通じてこの間隔を調整できます。また、コマンド アンド コントロール (C2) 通信を隠すために Base64 エンコーディングも採用されています。

ReVBShell の使用は、Tick チームと Tonto Team として知られる他の 2 つの中国関連クラスターに関連付けられています。 2023 年 4 月、ASEC (アンラボ セキュリティ緊急対応センター) は、トント チームに関連する同一の感染シーケンスを検出しました。

ReVBShell によって提供されるリモート アクセス トロイの木馬である Bisonal は、情報収集、コマンド実行、プロセス管理、ファイル転送、ファイル削除などのさまざまなタスクを実行できる多用途ツールです。

TAG-74 は Tick と密接に関係しており、中国の脅威グループ間でツールを共有する慣行が蔓延していることを浮き彫りにしています。

レコーデッド・フューチャーは、TAG-74のキャンペーンは、長期にわたって韓国のターゲットから情報を収集するというグループの永続的な取り組みを反映していると強調した。