MirrorFace APT
סוכנות המשטרה הלאומית של יפן (NPA) והמרכז הלאומי למוכנות לאירועים ואסטרטגיה לאבטחת סייבר (NCSC) האשימו שחקן איומים הקשור לסין הידוע בשם MirrorFace בתזמורת קמפיין מתקפת סייבר ממושך. מאז 2019, הקבוצה מכוונת לכאורה לארגונים, עסקים ויחידים ברחבי יפן, במטרה לגנוב מידע הקשור לביטחון לאומי ולטכנולוגיה מתקדמת.
תוכן העניינים
הקישורים של MirrorFace ל-APT10
MirrorFace המכונה גם Earth Kasha, היא מאמינים שהיא תת-קבוצה בתוך שחקן האיומים הידוע APT10 . הקבוצה תקפה באופן שיטתי ישויות יפניות, תוך שימוש בכלים מתוחכמים כגון ANEL, LODEINFO ו-NOOPDOOR (הידוע גם בשם HiddenFace) כדי להשיג את מטרותיה.
ספייר-פישינג והרחבת יעדים
חוקרים חשפו פרטים על קמפיין דיוג בחנית שבו MirrorFace כיוונה אנשים וארגונים ביפן כדי לפרוס את ANEL ו-NOOPDOOR. במהלך השנים נצפו פעולות דומות המכוונות לגופים בטייוואן ובהודו, מה שמוכיח את העניין האסטרטגי הרחב יותר של הקבוצה.
זוהו שלושה מסעות תקיפה גדולים
לפי NPA ו-NCSC, הפעילויות של MirrorFace סווגו לשלושה קמפיינים עיקריים:
- קמפיין א' (דצמבר 2019 - יולי 2023 ): שלב זה התמקד בצוותי חשיבה, סוכנויות ממשלתיות, פוליטיקאים וארגוני תקשורת. התוקפים השתמשו במייל דיוג בחנית כדי להעביר את LODEINFO , NOOPDOOR וגרסה מותאמת אישית של Lilith RAT הידועה בשם LilimRAT.
- קמפיין B (פברואר - אוקטובר 2023) : במהלך תקופה זו, MirrorFace העבירה את המיקוד שלה למגזרי המוליכים למחצה, הייצור, התקשורת, האקדמיה והתעופה והחלל. הקבוצה ניצלה נקודות תורפה ידועות במכשירים הפונים לאינטרנט מ-Array Networks, Citrix ו-Fortinet כדי לחדור לרשתות ולפרוס את Cobalt Strike Beacon, LODEINFO ו-NOOPDOOR.
- קמפיין C (מיוני 2024): ההתקפות האחרונות כוונו בעיקר לאקדמיה, לצוותי חשיבה, לפוליטיקאים ולארגוני תקשורת. התוקפים ממשיכים להשתמש במייל דיוג בחנית, הפעם כדי לספק ANEL (הידוע גם בשם UPPERCUT).
טכניקות התחמקות ותקשורת סמויה
MirrorFace השתמשה בטכניקות מתקדמות כדי לשמור על התמדה ולהימנע מזיהוי. טקטיקה בולטת כוללת שימוש במנהרות מרוחקות של Visual Studio Code כדי ליצור קשרים חשאיים, מה שמאפשר לשחקני איום לעקוף את הגנות הרשת ולשמור על שליטה מרחוק על מערכות שנפגעו.
ארגז חול של Windows לביצוע התגנבות
החוקרים גילו גם שתוקפים ביצעו מטענים מאיימים בסביבת Windows Sandbox. גישה זו מאפשרת לתוכנה הזדונית לפעול מבלי להיות מזוהה על ידי תוכנת אנטי-וירוס או מערכות זיהוי ותגובה של נקודות קצה (EDR). יתרה מכך, ברגע שהמחשב המארח נסגר או מופעל מחדש, כל העקבות של התוכנה הזדונית נמחקים, ולא משאירים ראיות משפטיות מאחור.
איום מתמשך על הביטחון הלאומי
הטקטיקות המתמשכות והמתפתחות שבהן משתמש MirrorFace מדגישות את איומי הסייבר המתמשכים העומדים בפני יפן. על ידי מיקוד למגזרים קריטיים ושימוש באסטרטגיות התחמקות מתוחכמות, הקבוצה ממשיכה להוות אתגר רציני לביטחון הלאומי ולהתקדמות הטכנולוגית. הרשויות דוחקות בארגונים לשמור על ערנות מפני ניסיונות דיוג חנית ולחזק את הגנת אבטחת הסייבר שלהם מפני איומים מתפתחים.
