Insikt Groupの新しい調査では、その執拗さ、活動の激しさ、世界的な広がりで際立っている、中国政府の支援する脅威活動グループRedHotelを取り上げています。RedHotelは、2021年から2023年にかけて、アジア、欧州、北米の17か国で活動しており、そのターゲットには、学術界、航空宇宙、政府、メディア、通信、研究の各分野が含まれます。特に東南アジアの政府や特定のセクターの 民間企業に焦点を当てたRedHotelのマルウェアのコマンド&コントロール、偵察、エクスプロイトのインフラストラクチャは、管理が中国の成都で行われていることを示しています。その手法は中国国家安全部（MSS）と関係のある他の請負業者グループと一致しており、成都のサイバー人材と活動が結びついていることを示しています。
RedHotelの多層C2インフラストラクチャネットワークの概略図
少なくとも2019年以来、RedHotelは高い活動ペースを維持し、世界中の公共部門および民間部門の組織を標的にすることで中国政府が支援する広範なサイバースパイ活動の容赦ない範囲と規模を実証してきました。このグループには情報収集と経済スパイの二重の使命があり、従来のようなインテリジェンスや政府機関と、新型コロナウイルス感染症の研究・技術研究開発に関与する組織の両方を対象としています。特に、2022年に発生した米国の州議会に対する攻撃では、その影響範囲の拡大が浮き彫りになりました。観察された被害者組織の大半は、首相官邸、財務省、立法機関、内務省などの政府機関であり、このグループのスパイ活動の可能性が高いタスクと一致しています。しかし、2021年7月に報じられた台湾の工業技術研究院（ITRI）や新型コロナウイルス感染症の研究を狙ったインシデントなどのいくつかのケースでは、産業スパイや経済スパイが動機であった可能性が高いと考えられます。同グループが過去に中国市場向けのオンラインギャンブル業界を標的にしてきたことは、Insikt Groupが観察した中国を拠点とするサイバースパイアクター全体の広範な傾向とも一致しており、中国政府によるオンラインギャンブルのより広範な取り締まりを支援するための情報収集も目的としている可能性があります。
RedHotelの技術スタック
RedHotelはコマンド&コントロールサーバーを介した偵察と長期的なネットワークアクセスに重点を置いた多層インフラストラクチャを採用しています。その多層インフラストラクチャは、使用する複数のマルウェアファミリーに関連するC2トラフィックのリバースプロキシとして機能するよう設定された大量のプロビジョニング済み仮想プライベートサーバー（VPS）で構成されています。これらのリバースプロキシサーバーは通常、標準のHTTP（s）ポート（TCP 80、443、8080、8443など）でリッスンし、トラフィックを上流のアクターが制御するサーバーにリダイレクトするように設定されています。これらの上流サーバーは、オープンソースの仮想プライベートネットワーク（VPN）ソフトウェアSoftEtherを使用して脅威アクターによって直接管理されている可能性があります。
このグループは、攻撃的なセキュリティツール、共有機能、Cobalt Strike、Brute Ratel C4、Winnti、ShadowPad、FunnySwitch、Spyderバックドアなどの特注ツールを組み合わせて利用することがよくあります。2022年から2023年にかけて、Insikt GroupはRedHotelが使用している100を超えるC2 IPアドレスを追跡しましたが、AS-CHOOPA（Vultr）、G-Core Labs SA、Kaopu Cloud HK Limitedなどの特定のホスティングプロバイダーが特によく使用されていました。特定のホスティングプロバイダーに対する脅威アクターの選好は、コスト、信頼性、セットアップのしやすさ、データセンターの場所、政府や民間組織との協力や組織からの情報収集の度合い、ホスティングプロバイダーがサービスの悪用に対処するスピードと意欲などの要因の影響を受ける可能性があります。
Recorded FutureのInsikt Groupは中国国家が後援するさまざまなサイバー脅威を観察していますが、RedHotelはその幅広い範囲と活動の激しさで際立っています。RedHotelのキャンペーンには、盗まれたコード署名証明書の悪用やベトナム政府のインフラ乗っ取りなどのイノベーションが含まれています。一般公開されているにもかかわらず、RedHotelの大胆なアプローチは、その活動が今後も続くことを示唆しています。
防衛戦略
組織は、インターネットに接続された機器（特に企業のVPN、メールサーバー、ネットワークデバイス）の強化と脆弱性パッチの適用を優先し、これらのデバイスのログ記録と監視を行い、ネットワークセグメンテーションを実装して内部ネットワークへの露出と横方向の移動の可能性を制限することで、RedHotelの活動から身を守ることができます。
注：本レポートの概要は2023年8月8日に発表され、2024年10月29日に更新されました。当初の分析と調査結果に変更はありません。
文末脚注付きの分析全体を読むには、 ここをクリックして レポートをPDFとしてダウンロードしてください。
付録A — 侵害を示す指標
ドメイン： |
|---|
付録B — MITRE ATT&CK手法
戦術：手法 | ATT&CKコード | オブザーバブル |
|---|---|---|
偵察： アクティブスキャン:脆弱性スキャン | RedHotelは、Acunetixなどの脆弱性スキャンツールを使用して、外部向けアプライアンスの脆弱性をスキャンしています | |
リソース開発: インフラストラクチャの取得:ドメイン | RedHotelは、主にNamecheapを介してドメインを購入しました。 | |
リソース開発: インフラストラクチャの取得:仮想プライベートサーバー | RedHotelは、プロバイダーのChoopa(Vultr)、G-Core、およびKaopu Cloud HK Limitedを優先して、アクター制御のVPSをプロビジョニングしました。 | |
リソース開発: 侵害インフラストラクチャ:サーバー | RedHotelは、侵害されたGlassFishサーバーをCobalt Strike C2として使用し、ターゲットネットワークをスキャンしています。 | |
初期アクセス: 公開アプリケーションの悪用 | RedHotelは、Zimbra Collaboration Suite(CVE-2022-24682、CVE-2022-27924、CVE-2022-27925とCVE-2022-37042、CVE-2022-30333と連鎖)、Microsoft Exchange(ProxyShell)、Apache Log4Jの Log4Shell の脆弱性など、公開アプリケーションを悪用して初期アクセスを行っています。 | |
初期アクセス: スピアフィッシング:スピアフィッシングの添付ファイル | RedHotelは、リモートでホストされているスクリプト(HTA、VBScript)をフェッチするショートカット(LNK)ファイルを含むアーカイブスピアフィッシング添付ファイルを使用しています。 これらのスクリプトは、DLLの検索順序ハイジャックの感染チェーンをトリガーし、ユーザーにおとり文書を表示するために使用されます。 | |
固執： サーバーソフトウェアコンポーネント: Web シェル | RedHotelは、被害者の環境内でWebシェルを使用し、侵害されたGlassFishサーバーと対話しています | |
永続性:: スケジュールされたタスク/ジョブ: スケジュールされたタスク | RedHotelは、グループのSpyderバックドアの永続化にスケジュールされたタスクを使用しています。
| |
固執： ブートまたはログオンの自動起動実行: レジストリ実行キー / スタートアップ フォルダー | ScatterBee ShadowPadローダーは、Runレジストリキーを介して保持され、暗号化されたShadowPadペイロードをレジストリに保存します。 | |
防御回避: 難読化されたファイルまたは情報 | RedHotelは、ScatterBeeツールを使用してShadowPadペイロードを難読化しました。 また、このグループは、暗号化またはエンコードされたペイロードを | |
防御回避: ファイルまたは情報の難読化/デコード | ||
防御回避: 信頼制御の破壊: コード署名 | RedHotelは、盗まれたコード署名証明書(参照されているWANIN International証明書など)を使用して悪意のあるバイナリに署名しています。 | |
防御回避:ハイジャック実行フロー:DLL検索順序ハイジャック | RedHotelは、 | |
防御回避:マスカレード:正当な名前または場所を照合します | RedHotelは、DLL検索順序ハイジャックと並行して正当なファイル名を使用して、悪意のあるDLLをロードしています。 | |
コマンド&コントロール: プロキシ:外部プロキシ | RedHotelはVPS C2を使用して、攻撃者が制御するサーバーにトラフィックをアップストリームでプロキシしています。 | |
コマンド&コントロール：アプリケーション層プロトコル：Webプロトコル | このレポートで参照されているRedHotelBruteRatelおよびCobaltStrikeのサンプルは、HTTPSを介して通信します。 | |
流出: C2 チャネルを介した流出 | RedHotelは、マルウェアのC2チャネルを介してデータを盗み出しました。 |
