研究者らは、広東昌明科技有限公司(Guangdong Chanming Technology Co., Ltd.)というほとんど無名の中国サイバーセキュリティベンダーを、中国系脅威アクターが使用しているとされる秘匿リレーネットワーク「RedRelay」に関連付けました。
今回の調査結果は、企業登記記録、ソフトウェアの成果物、特許出願、そして人民解放軍(PLA)の調達文書をつなぎ合わせ、より広範なサイバースパイ活動のエコシステムを浮かび上がらせています。
広東昌明は、一般に向けた存在感をほとんど示していません。目立ったマーケティングサイトも、公開されている製品カタログも、一般消費者向けセキュリティ製品のラインナップも存在しないのです。
しかし、同社が登録しているソフトウェア著作権や特許を見ると、そこに記されたツールの機能は、一般的な企業向けセキュリティ製品というよりも、監視、匿名化、データ収集、そして攻撃的なサイバー作戦に近い性質を持っていることがわかります。
登録されている製品名には、Internet Security Access System、Multi-Functional Security Proxy System、File Transfer Network System、追跡回避を目的としたSecurity Tunnel Net、Network Equipment Vulnerability Testing Analysis System、Android Secret Extraction System、Telegram Data Collection Systemなどが含まれています。
これらの名称から推測されるのは、通信のトラフィックを隠蔽し、中継システムを経由して通信を迂回させ、ネットワークの脆弱性を評価し、モバイル端末やメッセージングプラットフォームからデータを収集するために設計されたソフトウェアです。
こうした機能自体は正当なセキュリティテストの用途でも使われ得るものですが、これらが組み合わさって存在し、しかも軍の調達活動と併せて見た場合には、懸念が生じます。
公開されている人民解放軍の調達文書には、広東昌明が北京市海淀区の軍関係の顧客に「匿名ネットワークシステム(Anonymous Network System)」を供給したサプライヤーとして記載されています。
商業的なマーケティング活動がほぼ見られないにもかかわらず軍関連の契約を持っているという点から、同社の製品は一般的なサイバーセキュリティ市場ではなく、国家と関係のある利用者向けに開発されている可能性が浮かび上がります。
企業の登記書類によると、Dai Zhoujun氏とWang Huiping氏が広東昌明の株主として記載されています。研究者らは、漏洩データに関連付けられているとされる電話番号と、メールアドレス[email protected]を特定したことから、Wang Huiping氏に焦点を当てました。
このメールアドレスは、以前Free Connect(通称FCN)というソフトウェアプロジェクトをホストしていたGitHubアカウントに紐づいていました。元のリポジトリはすでに存在しませんが、アーカイブされたフォークはオンライン上に今も残っています。
残されたコードや参照情報からは、ドメインxfconnect.comが浮かび上がり、このドメインもFCN関連のバイナリと関連付けられています。
マルウェア解析プラットフォームを通じて特定されたあるファイルは、STN Security Tunnelのコンポーネントとされるstn.exeに酷似していると報告されています。
このSTNサンプルから抽出された文字列には、FCNへの直接的な言及が含まれているとされ、両ツールの間に技術的あるいは開発上の関連がある可能性を示唆しています。
研究者らはまた、FCNのビルドにおいてデフォルトのネットワークインターフェースを特定するために繰り返し使用されている、Linux上の特異なコマンドを発見しました。
このコマンドの並びが重要な手がかりとなりました。この特徴的なコードパターンを検索したところ、bulbatureと呼ばれるファイル、別名WHIPWEAVEマルウェアが特定されたとwordpressは報じています。
脅威研究者らは、WHIPWEAVEを、侵害されたシステムを経由して悪意あるトラフィックを中継する秘匿ネットワークインフラであるRedRelay(別名ORBWEAVER)に関連付けています。
こうしたネットワークは、攻撃者の真の発信元を隠し、攻撃の帰属特定を困難にし、長期間にわたるスパイ活動に対して強靭なアクセス経路を提供する働きを持ちます。
ANY.RUNを使えば、SOC調査の死角を減らし、脅威をより早い段階で封じ込めることで、対応コストと業務への影響を抑えられます。
翻訳元: https://cyberpress.org/chinese-vendor-linked-redrelay/
