MirrorFace APT: een aanhoudende cyberdreiging gericht op Japan

Een langlopende spionageoperatie

Het cybersecuritylandschap van Japan kampt met een voortdurende uitdaging in de vorm van MirrorFace APT, een geavanceerde cyber-espionagegroep waarvan wordt aangenomen dat ze banden heeft met China. Deze dreigingsactor orkestreert al sinds ten minste 2019 gerichte aanvallen en richt zich op het infiltreren van organisaties, bedrijven en vooraanstaande personen in heel Japan. Autoriteiten van de National Police Agency (NPA) en het National Center of Incident Readiness and Strategy for Cybersecurity (NCSC) hebben MirrorFace aangewezen als een belangrijke speler in cyberoperaties die gericht zijn op het verzamelen van inlichtingen die verband houden met nationale veiligheid en technologische vooruitgang.

MirrorFace en zijn verbindingen met APT10

MirrorFace, ook bekend als Earth Kasha, wordt beschouwd als een filiaal van de grotere APT10-groep, die een geschiedenis heeft van het uitvoeren van cyber-espionageactiviteiten tegen meerdere landen. De groep heeft een scala aan aangepaste en openbaar beschikbare tools gebruikt om zijn operaties uit te voeren, waaronder ANEL, LODEINFO en NOOPDOOR (ook wel HiddenFace genoemd).

De dreigingsgroep staat bekend om het gebruik van spear-phishing-tactieken en het uitbuiten van beveiligingskwetsbaarheden om gerichte systemen te infiltreren. Hoewel Japan de primaire focus blijft, zijn de activiteiten ook waargenomen in Taiwan en India, wat duidt op een breder strategisch belang.

Campagnes die zich in de loop van de tijd ontvouwen

De activiteiten van MirrorFace zijn onderverdeeld in drie afzonderlijke campagnes, die elk specifieke technieken en tools gebruiken om netwerken te hacken en gegevens te stelen:

Targeting van politieke en media-entiteiten (2019-2023)

De eerste grote campagne, die liep van december 2019 tot juli 2023, richtte zich op politieke instellingen, media, overheidsinstanties en onderzoeksorganisaties. Door spear-phishing-e-mails te verspreiden, verspreidden de aanvallers kwaadaardige payloads zoals LODEINFO, NOOPDOOR en een aangepaste variant van Lilith RAT (LilimRAT), ontworpen voor het verzamelen van informatie en externe toegang.

Exploiteren van beveiligingszwakheden in kritieke sectoren (2023)

Een tweede golf van aanvallen vond plaats tussen februari en oktober 2023, waarbij de aandacht werd verlegd naar sectoren die cruciaal zijn voor de economische en technologische infrastructuur van Japan. Sectoren zoals halfgeleiderproductie, communicatie, lucht- en ruimtevaart en de academische wereld waren de primaire doelwitten. Deze fase omvatte het exploiteren van bekende kwetsbaarheden in internetgerichte apparaten, met name die geassocieerd met Array Networks, Citrix en Fortinet. Door deze zwakheden te benutten, gebruikten aanvallers tools zoals Cobalt Strike Beacon , LODEINFO en NOOPDOOR om voet aan de grond te krijgen binnen bedrijfsnetwerken.

Recente tactieken en aanpassingen (2024-heden)

De laatste bekende campagne, die in juni 2024 ontstond, richtte zich opnieuw op de academische wereld, onderzoeksinstellingen, politici en mediapersoneel. Spear-phishing blijft de primaire methode van binnendringen, waarbij aanvallers ANEL (ook wel UPPERCUT genoemd) gebruiken om systemen te compromitteren en permanente toegang te verkrijgen.

Geavanceerde technieken voor stealth en volharding

MirrorFace heeft laten zien dat het zijn tactieken kan aanpassen om moderne veiligheidsmaatregelen te omzeilen. Een van de opvallende technieken is het gebruik van Visual Studio Code remote tunnels, waarmee de groep heimelijk controle kan houden over gecompromitteerde systemen terwijl detectie wordt ontweken.

Bovendien is de groep waargenomen bij het uitvoeren van kwaadaardige payloads binnen Windows Sandbox, een functie die is ontworpen voor veilige applicatietests. Door schadelijke code in deze geïsoleerde omgeving uit te voeren, zorgen de aanvallers ervoor dat sporen van hun activiteiten verdwijnen wanneer het systeem opnieuw wordt opgestart, waardoor forensische analyse geen cruciaal bewijs kan onthullen.

Implicaties voor cyberbeveiliging en defensie

De voortdurende activiteiten van MirrorFace benadrukken de evoluerende cyberdreigingen waarmee Japan en de bredere regio Azië-Pacific worden geconfronteerd. Gezien de focus van de groep op nationale veiligheid, technologie en industrie, kunnen de activiteiten ervan aanzienlijke implicaties hebben voor zowel overheidsbeleid als beveiligingsstrategieën van de private sector.

Organisaties die actief zijn in sectoren met een hoog risico moeten waakzaam blijven en proactieve cybersecuritymaatregelen nemen om dergelijke bedreigingen tegen te gaan. Dit omvat het versterken van e-mailbeveiliging, het regelmatig updaten van software om bekende kwetsbaarheden te patchen en het inzetten van geavanceerde detectietools die ongebruikelijke netwerkactiviteit kunnen identificeren.

Een voortdurend cyberconflict

De activiteiten van MirrorFace APT onderstrepen de hardnekkige aard van cyberespionage en het belang van gecoördineerde cybersecurity-inspanningen. Hoewel autoriteiten de methoden van de groep hebben kunnen volgen en analyseren, blijft de voortdurende uitdaging om de impact ervan te beperken en toekomstige aanvallen voor te blijven. Terwijl dreigingsactoren hun technieken blijven verfijnen, moeten landen en organisaties hun verdediging verbeteren om gevoelige informatie te beschermen tegen ongeautoriseerde toegang.