APT41
Presunta attribuzione: Cina
Settori target: APT41 ha preso di mira direttamente organizzazioni in almeno 14 paesi fin dal 2012. Le campagne di spionaggio del gruppo hanno preso di mira il settore sanitario, le telecomunicazioni e il settore di alta tecnologia e hanno tradizionalmente incluso il furto di proprietà intellettuale. Le loro intrusioni di crimine informatico sono evidenti tra gli obiettivi del settore dei videogiochi, tra cui la manipolazione di valute virtuali e il tentativo di deployment di ransomware. Le operazioni di APT41 contro istruzione superiore, servizi di viaggio e società di notizie/media forniscono alcune indicazioni che suggeriscono che il gruppo monitora anche gli individui e conduce sorveglianza.
Panoramica: APT41 è un prolifico gruppo di cyber minaccia che svolge attività di spionaggio sponsorizzate dallo stato cinese, oltre ad attività a sfondo finanziario potenzialmente al di fuori del controllo statale.
Malware associati: è stato osservato che APT41 utilizza almeno 46 famiglie di codici e strumenti diversi.
Vettori d'attacco: APT41 si affida spesso a email di spear phishing con allegati come file HTML compilati (.chm) per compromettere le sue vittime. Una volta all'interno dell'organizzazione vittima, APT41 può sfruttare TTP più sofisticati e eseguire il deployment di malware aggiuntivo. Ad esempio, in una campagna durata quasi un anno, APT41 ha compromesso centinaia di sistemi e utilizzato quasi 150 pezzi unici di malware tra cui backdoor, programmi di intercettazione delle credenziali, keylogger e rootkit. APT41 ha anche implementato rootkit e bootkit di master boot record (MBR) su base limitata per nascondere il proprio malware e mantenere la persistenza su determinati sistemi delle vittime.
Risorse aggiuntive
APT40
Presunta attribuzione: Cina
Settori target: APT40 è un gruppo di spionaggio informatico cinese che tipicamente prende di mira paesi strategicamente importanti nell'ambito della Belt and Road Initiative. Sebbene il gruppo abbia come obiettivo le organizzazioni globali, in particolare quelle focalizzate sull'ingegneria e sulla difesa, storicamente il gruppo ha anche condotto campagne contro entità regionali in aree come il Sud-est asiatico. Almeno da gennaio 2013, il gruppo ha condotto campagne contro una serie di verticali, tra cui obiettivi marittimi, difesa, aviazione, chimica, ricerca/istruzione, organizzazioni governative e tecnologiche.
Panoramica: Mandiant Intelligence ritiene che le operazioni di APT40 siano una controparte informatica agli sforzi della Cina di modernizzare le sue capacità navali; ciò si manifesta anche nel puntare a progetti di ricerca su larga scala presso le università e nell'ottenimento di progetti per attrezzature e veicoli marittimi. Le operazioni del gruppo tendono ad avere come obiettivo i progetti sponsorizzati dai governi e ad acquisire grandi quantità di informazioni specifiche di questi progetti, tra cui proposte, riunioni, dati finanziari, informazioni di spedizione, piani, disegni e dati non elaborati.
Malware associati: è stato osservato che APT40 utilizza almeno 51 famiglie di codici diverse. Di questi, 37 non sono pubblici. Almeno 7 di questi strumenti non pubblici (BADSIGN, FIELDGOAL, FINDLOCK, PHOTO, SCANBOX, SOGU e WIDETONE) sono condivisi con altri sospetti operatori con un legame con la Cina.
Vettori d'attacco: APT40 solitamente si pone come un individuo di rilievo che probabilmente è di interesse per un obiettivo per l'invio di email di spear phishing. Questo include fingere di essere un giornalista, un privato di una pubblicazione commerciale o qualcuno proveniente da un'organizzazione militare o un'organizzazione non governativa (ONG) pertinente. In alcuni casi, il gruppo ha sfruttato indirizzi email precedentemente compromessi per inviare email di spear phishing.
Risorse aggiuntive
APT31
Presunta attribuzione: Cina
Settori target: vari settori, tra cui governi, organizzazioni finanziarie internazionali, aerospaziali e di difesa, nonché alta tecnologia, edilizia e ingegneria, telecomunicazioni, media e assicurazioni.
Panoramica: APT31 è un attore malintenzionato di spionaggio informatico legato alla Cina, concentrato sull'ottenimento di informazioni in grado di fornire al governo cinese e alle imprese statali vantaggi politici, economici e militari.
Malware associati: SOGU, LUCKYBIRD, SLOWGYRO, DUCKFAT
Vettori d'attacco: APT31 ha sfruttato le vulnerabilità in applicazioni come Java e Adobe Flash per compromettere gli ambienti delle vittime.
APT30
Presunta attribuzione: Cina
Settori target: membri dell'Associazione delle Nazioni del Sud Est Asiatico (ASEAN)
Panoramica: APT30 è noto non solo per l'attività sostenuta per un lungo periodo di tempo, ma anche per la modifica e l'adattamento con successo del codice sorgente per mantenere gli stessi strumenti, tattiche e infrastrutture almeno dal 2005. Le prove mostrano che il gruppo dà priorità agli obiettivi, molto probabilmente lavora in turni in un ambiente collaborativo e crea malware partendo da un piano di sviluppo coerente. Il gruppo ha avuto la capacità di infettare le reti con air-gap dal 2005.
Malware associati: SHIPSHAPE, SPACESHIP, FLASHFLOOD
Vettori d'attacco: APT30 utilizza una suite di strumenti che includono downloader, backdoor, un controller centrale e diversi componenti progettati per infettare le unità rimovibili e le reti con cross-air gap per rubare dati. APT30 registra spesso i propri domini DNS per le attività CnC malware.
APT27
Presunta attribuzione: Cina
Settori target: APT27 ha preso di mira diverse organizzazioni con sede centrale in tutto il mondo, tra cui Nord e Sud America, Europa e Medio Oriente. Queste organizzazioni rientrano in una gamma di settori diversi, tra cui servizi alle aziende, alta tecnologia, governo ed energia; tuttavia, un numero considerevole è costituito da settori aerospaziale, dei trasporti o dei viaggi.
Panoramica: APT27 si impegna in operazioni informatiche dove l'obiettivo è il furto di proprietà intellettuale, concentrandosi di solito sui dati e sui progetti che rendono una particolare organizzazione competitiva nel suo settore.
Malware associati: PANDORA, SOGU, ZXSHELL, GHOST, WIDEBERTH, QUICKPULSE, FLOWERPOT
Vettori d'attacco: APT27 utilizza spesso lo spear phishing come metodo di compromissione iniziale. Gli attori di minaccia di APT27 non sono noti perl'utilizzo di exploit zero-day originali, ma potrebbero sfruttarli una volta resi pubblici. In almeno un caso, gli attori malintenzionati di APT27 hanno utilizzato un account compromesso presso un'organizzazione vittima per inviare un'email di spear phishing ad altre vittime previste nei settori simili. Inoltre, APT27 potrebbe compromettere le applicazioni web vulnerabili per ottenere un punto d'appoggio iniziale.
APT26
Presunta attribuzione: Cina
Settori target: aerospaziale, settori della difesa ed energetico, tra gli altri
Panoramica: APT26 si impegna in operazioni informatiche dove l'obiettivo è il furto di proprietà intellettuale, concentrandosi di solito sui dati e sui progetti che rendono una particolare organizzazione competitiva nel suo settore.
Malware associati: SOGU, HTRAN, POSTSIZE, TWOCHAINS, BEACON
Vettori d'attacco: il gruppo utilizza spesso compromissioni strategiche del web per ottenere l'accesso a reti target e backdoor personalizzate una volta che si trovano all'interno dell'ambiente di una vittima.
APT25
Noto anche come: Uncool, Vixen Panda, Ke3chang, Sushi Roll, Tor
Presunta attribuzione: Cina
Settori target: base industriale della difesa, settori dei media, dei servizi finanziari e dei trasporti negli Stati Uniti e in Europa.
Panoramica: APT25 si occupa di operazioni informatiche il cui obiettivo è il furto di dati.
Malware associati: LINGBO, PLAYWORK, MADWOFL, MIRAGE, TOUGHROW, TOYSNAKE, SABERTOOTH
Vettori d'attacco: APT25 ha sempre utilizzato lo spear phishing nelle proprie operazioni, inclusi messaggi contenenti allegati dannosi e link ipertestuali dannosi. Gli aggressori di minaccia di APT25 tipicamente non utilizzano exploit zero-day, ma potrebbero sfruttarli una volta resi pubblici.
APT24
Noto anche come: PittyTiger
Presunta attribuzione: Cina
Settori target: APT24 ha preso di mira un'ampia varietà di settori, tra cui organizzazioni del governo, della sanità, dell'edilizia e dell'ingegneria, dell'estrazione mineraria, del non profit e delle telecomunicazioni.
Panoramica: è noto che questo gruppo ha preso di mira organizzazioni con sede in paesi che includono Stati Uniti e Taiwan. APT24 ha sempre utilizzato l’utilità di archiviazione RAR per criptare e comprimere i dati rubati prima di trasferirli fuori dalla rete. Il furto di dati esfiltrato da questo aggressore si è concentrato principalmente su documenti con rilevanza politica, il che suggerisce che il suo intento è quello di monitorare le posizioni di vari stati su questioni applicabili alla controversia territoriale o di sovranità in corso in Cina.
Malware associati: PITTYTIGER, ENFAL, TAIDOOR
Vettori d'attacco: APT24 ha utilizzato email di phishing che utilizzano temi militari, di energia rinnovabile o di strategia aziendale come esche. Inoltre APT24 si impegna in operazioni informatiche dove l'obiettivo è il furto di proprietà intellettuale, concentrandosi di solito sui dati e sui progetti che rendono una particolare organizzazione competitiva nel suo settore.
APT23
Presunta attribuzione: Cina
Settori target: media e governo negli Stati Uniti e nelle Filippine
Panoramica: APT23 ha rubato informazioni con significato politico e militare, piuttosto che proprietà intellettuale. Ciò suggerisce che APT23 potrebbe effettuare il furto di dati a supporto di operazioni di spionaggio più tradizionali.
Malware associato: NONGMIN
Vettori d'attacco: APT23 ha utilizzato messaggi di spear phishing per compromettere le reti delle vittime, includendo esche di phishing legate all'istruzione. Non è noto che gli aggressori di APT23 utilizzino exploit zero-day, ma questo gruppo ha sfruttato questi exploit una volta che sono stati resi pubblici.
APT22
Noto anche come: Barista
Presunta attribuzione: Cina
Settori target: un ampio gruppo di entità politiche, militari ed economiche in Asia orientale, Europa e Stati Uniti
Panoramica: riteniamo che APT22 abbia un nesso con la Cina e sia operativo almeno dall'inizio del 2014, svolgendo intrusioni e attività di attacco contro entità del settore pubblico e privato, inclusi i dissidenti.
Malware associati: PISCES, SOGU, FLATNOTE, ANGRYBELL, BASELESS, SEAWOLF, LOGJAM
Vettori d'attacco: gli attori malintenzionati di APT22 hanno utilizzato compromissioni strategiche del web per sfruttare passivamente obiettivi di interesse. Gli attori malintenzionati di APT22 hanno anche identificato server web vulnerabili rivolti al pubblico sulle reti delle vittime e caricato webshell per ottenere l'accesso alla rete della vittima.
APT21
Noto anche come: Zhenbao
Presunta attribuzione: Cina
Settori target: governo
Panoramica: APT21 sfrutta allegati strategici in lingua russa il cui tema sono problemi di sicurezza nazionale nei documenti esca. Storicamente, i contenuti di ingegneria sociale indicano un'operazione di spionaggio informatico che tenta di ottenere l'accesso non autorizzato a informazioni riservate sulla sicurezza dello stato in Russia. Un'analisi delle tecniche di APT21 suggerisce che un'altra area di interesse dei loro gruppi sono i gruppi dissidenti che cercano una maggiore autonomia o indipendenza dalla Cina, come quelli dal Tibet o dallo Xinjiang.
Malware associati: SOGU, TEMPFUN, Gh0st, TRAVELNET, HOMEUNIX, ZEROTWO
Vettori d'attacco: APT21 sfrutta messaggi email di spear phishing con allegati dannosi, link a file dannosi o pagine web. Ha anche usato compromissioni strategiche del web (SWC) per prendere di mira potenziali vittime. APT21 usa spesso due backdoor note come TRAVELNET e TEMPFUN. Significativamente, APT21 utilizza in generale principalmente backdoor personalizzate, usando raramente strumenti disponibili pubblicamente.
APT20
Nota anche come: Twivy
Presunta attribuzione: Cina
Settori target: costruzioni e ingegneria, sanità, organizzazioni non profit, base industriale di difesa e società di ricerca e produzione chimica.
Panoramica: APT20 si occupa di operazioni informatiche il cui obiettivo è il furto di dati. APT20 conduce furti di proprietà intellettuale, ma sembra anche interessato a rubare dati o monitorare le attività di individui con particolari interessi politici. Sulla base dei dati disponibili, riteniamo che questo sia un gruppo di freelance con una sponsorizzazione di uno stato situato in Cina.
Malware associati: QIAC, SOGU, Gh0st, ZXSHELL, Poison Ivy, BEACON, HOMEUNIX, STEW
Vettori d'attacco: l'uso di compromissioni strategiche del web da parte di APT20 fornisce informazioni su una seconda serie di probabili bersagli. Molte delle SWC di APT20 sono state ospitate su siti web (compresi i siti web in lingua cinese) che si occupano di questioni come democrazia, diritti umani, libertà di stampa, minoranze etniche in Cina e altre questioni.
APT19
Anche noto come: Codoso Team
Presunta attribuzione: Cina
Settori target: legale e investimenti
Panoramica: un gruppo probabilmente composto da freelance, con un certo grado di sponsorizzazione da parte del governo cinese.
Malware associati: BEACON, COBALTSTRIKE
Vettori d'attacco: nel 2017, APT19 ha utilizzato tre diverse tecniche per tentare di compromettere gli obiettivi. All'inizio di maggio, le esche di phishing hanno sfruttato gli allegati RTF che usavano la vulnerabilità Microsoft Windows descritta in CVE 2017-0199. Verso la fine di maggio, APT19 è passato all'utilizzo di documenti Microsoft Excel (XLSM) con macro attivate. Nelle versioni più recenti, APT19 ha aggiunto ai documenti XLSM un bypass all'elenco delle applicazioni attendibili. Almeno un'esca di phishing osservata ha consegnato un payload Cobalt Strike.
APT18
Anche noto come: Wekby
Presunta attribuzione: Cina
Settori target: aerospaziale e difesa, edilizia e ingegneria, istruzione, sanità e biotecnologia, alta tecnologia, telecomunicazioni, trasporti
Panoramica: sono state rilasciate poche informazioni su questo gruppo pubblicamente.
Malware associato: Gh0st RAT
Vettori d'attacco: exploit zero-day sviluppati o adattati frequentemente per operazioni, che erano probabilmente pianificate in anticipo. Ha utilizzato i dati della fuga di notizie del team di hacking, che ha dimostrato come il gruppo può spostare le risorse (ad esempio, selezionare i bersagli, preparare l'infrastruttura, creare messaggi, aggiornare gli strumenti) per sfruttare opportunità inaspettate come i nuovi exploit esposti.
Risorse aggiuntive: blog - Demonstrating Hustle, Chinese APT Groups Quickly Use Zero-Day Vulnerability (CVE-2015-5119) Following Hacking Team Leak
APT17
Anche noto come: Tailgator Team, Deputy Dog
Presunta attribuzione: Cina
Settori target: studi legali governativi e internazionali degli Stati Uniti e società di tecnologia dell'informazione
Panoramica: conduce intrusioni nella rete contro le organizzazioni prese di mira.
Malware associato: BLACKCOFFEE
Vettori d'attacco: il gruppo di minaccia ha sfruttato la capacità di creare profili e post nei forum per incorporare CnC codificati per l'uso con una variante del malware usato. Questa tecnica può rendere difficile per i professionisti della sicurezza di rete determinare la vera posizione di CnC e consentire all'infrastruttura CnC di rimanere attiva per un periodo più lungo.
APT16
Presunta attribuzione: Cina
Settori target: organizzazioni giapponesi e taiwanesi nei settori dell'alta tecnologia, dei servizi governativi, dei media e dei servizi finanziari
Panoramica: gruppo con sede in Cina che si occupa di questioni politiche e giornalistiche a Taiwan.
Malware associati: IRONHALO, ELMER
Vettori d'attacco: email di spear phishing inviate a organizzazioni di media taiwanesi e indirizzi webmail. I documenti esca contenevano istruzioni per la registrazione e la successiva pubblicazione degli articoli su un sito web di aste taiwanesi.
APT15
Presunta attribuzione: Cina
Settori target: obiettivi globali nel settore commerciale, economico e finanziario, energetico e militare a sostegno degli interessi del governo cinese.
Panoramica: APT15 ha preso di mira organizzazioni con sede centrale in diverse località, tra cui numerosi paesi europei, Stati Uniti e Sudafrica. Gli operatori di APT15 condividono risorse, tra cui backdoor e infrastrutture, con altri APT cinesi.
Malware associati: ENFAL, BALDEAGLE, NOISEMAKER, MIRAGE
Vettori d'attacco: APT15 in genere utilizza email di spear phishing ben sviluppate per la compromissione iniziale contro obiettivi globali in vari settori di interesse per il governo cinese. Significativamente, APT15 utilizza backdoor e infrastrutture che non sono uniche per il gruppo, rendendo l'attribuzione difficoltosa.
APT14
Presunta attribuzione: Cina
Settori target: governo, telecomunicazioni, costruzioni e ingegneria
Panoramica: APT14 si occupa di operazioni informatiche dove l'obiettivo è il furto di dati, con una possibile attenzione su attrezzature, operazioni e norme militari e marittime. Riteniamo che i dati rubati, in particolare le specifiche delle apparecchiature di crittografia e di comunicazione satellitare, potrebbero essere utilizzati per migliorare le operazioni militari, come l'intercettazione dei segnali o interferire in altro modo con le reti di comunicazione satellitare militari.
Malware associati: Gh0st, POISONIVY, CLUBSEAT, GROOVY
Vettori d'attacco: gli attori di minaccia di APT14 non tendono a utilizzare exploit zero-day, ma potrebbero sfruttarli una volta resi pubblici. Potrebbero sfruttare uno strumento di posta SMTP personalizzato per l'invio dei messaggi di spear phishing. I messaggi di phishing di APT14 sono spesso creati per sembrare provenire da organizzazioni attendibili.
APT12
Anche noto come: Calc Team
Presunta attribuzione: Cina
Settori target: giornalisti, governo, base industriale della difesa
Panoramica: si ritiene che APT12 sia un gruppo di spionaggio informatico che si pensa abbia legami con l'Esercito Popolare Cinese di Liberazione. Gli obiettivi di APT12 sono coerenti con gli obiettivi più ampi della Repubblica Popolare Cinese (RPC). Le intrusioni e le campagne condotte da questo gruppo sono in linea con gli obiettivi della RPC e con l'interesse personale a Taiwan.
Malware associati: RIPTIDE, HIGHTIDE, THREBYTE, WATERSPOUT
Vettori d'attacco: Mandiant ha osservato APT12 consegnare questi documenti di exploit tramite email di phishing da account validi, ma compromessi. Sulla base delle attività passate di APT12, ci aspettiamo che il gruppo di minaccia continui a utilizzare il phishing come metodo di distribuzione del malware.
Risorse aggiuntive
APT10
Anche noto come: Menupass Team
Presunta attribuzione: Cina
Settori target: costruzioni e ingegneria, aziende aerospaziali e di telecomunicazioni e governi negli Stati Uniti, in Europa e in Giappone.
Panoramica: APT10 è un gruppo di spionaggio informatico cinese che Mandiant monitora dal 2009. Storicamente ha preso di mira le aziende di edilizia e ingegneria, aerospaziale e telecomunicazioni, nonché governi negli Stati Uniti, in Europa e in Giappone. Riteniamo che prendere di mira questi settori supporti gli obiettivi della sicurezza nazionale cinese, tra cui l'acquisizione di preziose informazioni militari e di intelligence e il furto di dati aziendali riservati a sostegno delle aziende cinesi.
Malware associati: HAYMAKER, SNUGRIDE, BUGJUICE, QUASARRAT
Vettori d'attacco: questa recente attività dell'APT10 ha incluso sia lo spear phishing tradizionale sia l'accesso alle reti delle vittime tramite fornitori di servizi gestiti. Per maggiori informazioni sull'infezione tramite fornitori di servizi, vedi M-Trends 2016. Gli attacchi di spear phishing di APT10 erano relativamente poco sofisticati, sfruttando file .lnk all'interno degli archivi, file con doppia estensione (per esempio, [Redacted]_Group_Meeting_Document_20170222_doc_.exe) e, in alcuni casi, semplicemente documenti ingannevoli con nomi identici e launcher dannosi all'interno dello stesso archivio. Oltre allo spear phishing, Mandiant Threat Intelligence ha osservato che APT10 accede alle vittime tramite fornitori di servizi globali.
Risorse aggiuntive
Risorse aggiuntive
APT9
Attribuzione presunta: sulla base dei dati disponibili, riteniamo che si tratti di un gruppo di freelance con una sponsorizzazione a opera di uno stato, probabilmente la Cina.
Settori target: organizzazioni con sede centrale in più paesi e in settori quali sanità e farmaceutica, edilizia e ingegneria, aerospaziale e difesa.
Panoramica: APT9 si occupa di operazioni informatiche il cui obiettivo è il furto di dati, concentrandosi di solito sui dati e sui progetti che rendono un'organizzazione particolare competitiva nel suo campo.
Malware associati: SOGU, HOMEUNIX, PHOTO, FUNRUN, Gh0st, ZXSHEL
Vettori d'attacco: APT9 è stata storicamente molto attiva nell'industria farmaceutica e della biotecnologia. Abbiamo notato che l'attore malintenzionato utilizza spear phishing, account validi e servizi remoti per l'accesso iniziale. In almeno un'occasione, Mandiant ha osservato APT9 presso due aziende del settore della biotecnologia e sospetta che gli attori malintenzionati di APT9 possano aver ottenuto l'accesso iniziale a una delle aziende utilizzando un rapporto di fiducia tra le due aziende. APT9 utilizza una vasta gamma di backdoor, incluse quelle disponibili pubblicamente, nonché backdoor che si ritiene siano personalizzate, ma utilizzate da più gruppi APT.
APT 8
Presunta attribuzione: Cina
Settori target: una vasta gamma di settori, tra cui media e intrattenimento, edilizia e ingegneria, aerospaziale e difesa.
Panoramica: APT8 si occupa di operazioni informatiche il cui obiettivo è il furto di proprietà intellettuale, concentrandosi di solito sui dati e sui progetti che rendono un'organizzazione competitiva nel suo campo. Riteniamo che questo sia un gruppo di freelance con sede in Cina e sponsorizzazione di uno stato. APT8 ha preso di mira organizzazioni con sede in diversi paesi, tra cui Stati Uniti, Germania, Regno Unito, India e Giappone.
Malware associati: HASH, FLYZAP, GOLFPRO, SAFEPUTT
Vettori d'attacco: gli attori malintenzionati di APT8 spesso utilizzano email di spear phishing con allegati o link dannosi oppure sfruttano server web vulnerabili con server web rivolti a internet per compromettere le organizzazioni prese di mira. Inoltre, in più intrusioni, gli attori malintenzionati di APT8 hanno inviato link dannosi alle potenziali vittime tramite chat o programmi di messaggistica immediata.
APT 7
Presunta attribuzione: Cina
Settori target: base industriale dell'edilizia, dell'ingegneria, aerospaziale e della difesa
Panoramica: APT7 si occupa di operazioni informatiche il cui obiettivo è il furto di proprietà intellettuale, concentrandosi di solito sui dati e sui progetti che rendono un'organizzazione competitiva nel suo campo. È noto che questo gruppo ha preso di mira organizzazioni con sede negli Stati Uniti e nel Regno Unito.
Malware associati: DIGDUG, TRACKS
Vettori d'attacco: gli attori malintenzionati di APT7 hanno utilizzato l'accesso a un'organizzazione per infiltrarsi in un'altra sotto la stessa società madre. Si tratta di una forma di movimento laterale, ma in questo caso è stato anche il metodo di compromissione iniziale per la seconda organizzazione.
APT6
Presunta attribuzione: Cina
Settori target: trasporti, auto e motori, edilizia e ingegneria, telecomunicazioni, elettronica, edilizia e materiali
Panoramica: APT6 si occupa di operazioni informatiche il cui obiettivo è il furto di dati, più probabilmente dati e progetti che rendono un'organizzazione competitiva nel suo campo. APT6 ha preso di mira le organizzazioni con sede negli Stati Uniti e nel Regno Unito.
Malware associati: BELUGA, EXCHAIN, PUPTENT
Vettori d'attacco: APT6 utilizza diverse backdoor personalizzate, incluse alcune utilizzate da altri gruppi APT e quelle uniche del gruppo.
APT 5
Presunta attribuzione: Cina
Settori target: fornitori di telecomunicazioni regionali, dipendenti in Asia di aziende tecnologiche e di telecomunicazioni globali, produzione di alta tecnologia e tecnologie per le applicazioni militari negli Stati Uniti, in Europa e in Asia.
Panoramica: APT5 è attivo almeno dal 2007. APT5 ha preso di mira o violato organizzazioni di diversi settori, ma la sua attenzione sembra concentrarsi sulle società di telecomunicazioni e tecnologiche, in particolare sulle informazioni sulle comunicazioni satellitari. Già nel 2014, Mandiant Incident Response ha scoperto che APT5 apportava modifiche non autorizzate al codice dei file nel sistema operativo incorporato di un'altra piattaforma tecnologica. Nel 2015, APT5 ha compromesso un'organizzazione di telecomunicazioni statunitense che fornisce servizi e tecnologie per enti privati e governativi. Durante l’intrusione, gli attori malintenzionati hanno scaricato e modificato alcune immagini del router relative ai router di rete aziendali. Inoltre, durante questo periodo, l'APT5 ha rubato file relativi alla tecnologia militare da un'organizzazione di difesa dell'Asia meridionale. I nomi file osservati suggeriscono che gli attori malintenzionati erano interessati alle specifiche dei prodotti, alle email relative ai prodotti tecnici, alle offerte e alle proposte di approvvigionamento e ai documenti sui veicoli aerei senza equipaggio (UAV).
Malware associati: BRIGHTCREST, SWEETCOLA, SPIRITBOX, PALEJAB, WIDERIM, WINVAULT, HAPPYSAD, BIRDWORLD, FARCRY, CYFREE, FULLSILO, HELLOTHEWORLD, HAZELNUT, GIF89A, SCREENBIND, SHINYFUR, TRUCKBED, LEOUNCIA, FREESWIM, PULLTAB, HIREDHELP, NEDDYHORSE, PITCHFORK, BRIGHTCOMB, ENCORE, TABCTENG, SHORTLEASH, CLEANACT, BRIGHTCYAN, DANCEPARTY, HALFBACK, PUSHBACK, COOLWHIP, LOWBID, TIGHTROPE, DIRTYWORD, AURIGA, KEYFANG, Poison Ivy
Vettori d'attacco: sembra essere un grande gruppo di minacce composto da diversi sottogruppi, spesso con tattiche e infrastrutture distinte. Il gruppo utilizza il malware con capacità di keylogging per colpire specificamente le reti aziendali, dipendenti e dirigenti di aziende di telecomunicazioni. APT5 ha mostrato un interesse significativo nella compromissione dei dispositivi di networking e nella manipolazione del software sottostante che supporta queste appliance.
APT 4
Noto anche come: Maverick Panda, Sykipot Group, Wisp
Presunta attribuzione: Cina
Settori target: aerospaziale e difesa, ingegneria industriale, elettronica, auto e motori, pubblica amministrazione, telecomunicazioni e trasporti
Panoramica: APT4 sembra prendere di mira la base industriale della difesa (DIB) con un tasso di frequenza più elevato rispetto ad altre organizzazioni commerciali. Tuttavia, la storia delle intrusioni mirate di APT4 ha un'ampia portata.
Malware associati: GETKYS, LIFESAVER, CCHIP, SHYLILT, SWEETTOOTH, PHOTO, SOGO
Vettori d'attacco: gli attori malintenzionati di APT4 spesso sfruttano messaggi di spear phishing utilizzando temi basati sul governo, sul Dipartimento della difesa o sulla difesa industriale degli Stati Uniti. Gli attori malintenzionati di APT4 potrebbero riproporre contenuti validi provenienti da siti web del governo o del Dipartimento della difesa degli Stati Uniti all'interno dei propri corpi di messaggi per conferire loro legittimità.
APT 3
Anche noto come: UPS Team
Presunta attribuzione: Cina
Settori target: aerospaziale e della difesa, edilizia e ingegneria, alta tecnologia, telecomunicazioni, trasporti
Panoramica: il gruppo di minaccia con sede in Cina che Mandiant identifica come APT3 è uno dei gruppi di minaccia più sofisticati tracciati da Mandiant Threat Intelligence e ha una storia di utilizzo di exploit basati su browser come zero-day (ad esempio, Internet Explorer, Firefox e Adobe Flash Player). Dopo aver sfruttato con successo un host di destinazione, questo gruppo eseguirà rapidamente il dump delle credenziali, si sposterà lateralmente verso host aggiuntivi e installerà backdoor personalizzate. L'infrastruttura di comando e controllo (CnC) di APT3 è difficile da tracciare, poiché la sovrapposizione tra le campagne è minima.
Malware associati: SHOTPUT, COOKIECUTTER, SOGU
Vettori d'attacco: le email di phishing utilizzate da APT3 sono solitamente di natura generica e quasi sembrano essere spam. Gli attacchi hanno sfruttato una vulnerabilità priva di patch nelle modalità di analisi dei file Flash Video (FLV) da parte di Adobe Flash Player. L'exploit utilizza comuni tecniche di corruzione vettoriale per bypassare la randomizzazione ASLR (Address Space Layout Randomization) e utilizza la programmazione orientata al ritorno (ROP) per bypassare la prevenzione dell'esecuzione dei dati (DEP). Un trucco intelligente alla loro tecnica ROP semplifica l'exploit ed eluderà alcune tecniche di rilevamento ROP. Lo shellcode viene archiviato nel file exploit di Adobe Flash Player compresso insieme a una chiave utilizzata per la decrittografia. Il payload è codificato xor e nascosto all'interno di un'immagine.
Risorse aggiuntive
Risorse aggiuntive
APT 2
Presunta attribuzione: Cina
Settori target: militare e aerospaziale
Panoramica: questo gruppo è stato osservato per la prima volta nel 2010. APT2 si occupa di operazioni informatiche il cui obiettivo è il furto di proprietà intellettuale, concentrandosi di solito sui dati e sui progetti che rendono un'organizzazione competitiva nel suo campo.
Malware associati: MOOSE, WARP
Vettori d'attacco: email di spear phishing che sfruttano CVE-2012-0158.
APT 30
Presunta attribuzione: Cina
Settori target: membri dell'Associazione delle Nazioni del Sud Est Asiatico (ASEAN)
Panoramica: APT30 è noto non solo per l'attività sostenuta per un lungo periodo di tempo, ma anche per la modifica e l'adattamento con successo del codice sorgente per mantenere gli stessi strumenti, tattiche e infrastrutture almeno dal 2005. Le prove mostrano che il gruppo dà priorità agli obiettivi, molto probabilmente lavora in turni in un ambiente collaborativo e crea malware partendo da un piano di sviluppo coerente. Il gruppo ha avuto la capacità di infettare le reti con air-gap dal 2005.
Malware associati: SHIPSHAPE, SPACESHIP, FLASHFLOOD
Vettori d'attacco: APT30 utilizza una suite di strumenti che includono downloader, backdoor, un controller centrale e diversi componenti progettati per infettare le unità rimovibili e le reti con cross-air gap per rubare dati. APT30 registra spesso i propri domini DNS per le attività CnC malware.
APT 27
Presunta attribuzione: Cina
Settori target: APT27 ha preso di mira diverse organizzazioni con sede centrale in tutto il mondo, tra cui Nord e Sud America, Europa e Medio Oriente. Queste organizzazioni rientrano in una gamma di settori diversi, tra cui servizi alle aziende, alta tecnologia, governo ed energia; tuttavia, un numero considerevole è costituito da settori aerospaziale, dei trasporti o dei viaggi.
Panoramica: APT27 si impegna in operazioni informatiche dove l'obiettivo è il furto di proprietà intellettuale, concentrandosi di solito sui dati e sui progetti che rendono una particolare organizzazione competitiva nel suo settore.
Malware associati: PANDORA, SOGU, ZXSHELL, GHOST, WIDEBERTH, QUICKPULSE, FLOWERPOT
Vettori d'attacco: APT27 utilizza spesso lo spear phishing come metodo di compromissione iniziale. Gli attori di minaccia di APT27 non sono noti perl'utilizzo di exploit zero-day originali, ma potrebbero sfruttarli una volta resi pubblici. In almeno un caso, gli attori malintenzionati di APT27 hanno utilizzato un account compromesso presso un'organizzazione vittima per inviare un'email di spear phishing ad altre vittime previste nei settori simili. Inoltre, APT27 potrebbe compromettere le applicazioni web vulnerabili per ottenere un punto d'appoggio iniziale.
APT 26
Presunta attribuzione: Cina
Settori target: aerospaziale, settori della difesa ed energetico, tra gli altri
Panoramica: APT26 si impegna in operazioni informatiche dove l'obiettivo è il furto di proprietà intellettuale, concentrandosi di solito sui dati e sui progetti che rendono una particolare organizzazione competitiva nel suo settore.
Malware associati: SOGU, HTRAN, POSTSIZE, TWOCHAINS, BEACON
Vettori d'attacco: il gruppo utilizza spesso compromissioni strategiche del web per ottenere l'accesso a reti target e backdoor personalizzate una volta che si trovano all'interno dell'ambiente di una vittima.
APT 25
Noto anche come: Uncool, Vixen Panda, Ke3chang, Sushi Roll, Tor
Presunta attribuzione: Cina
Settori target: base industriale della difesa, settori dei media, dei servizi finanziari e dei trasporti negli Stati Uniti e in Europa.
Panoramica: APT25 si occupa di operazioni informatiche il cui obiettivo è il furto di dati.
Malware associati: LINGBO, PLAYWORK, MADWOFL, MIRAGE, TOUGHROW, TOYSNAKE, SABERTOOTH
Vettori d'attacco: APT25 ha sempre utilizzato lo spear phishing nelle proprie operazioni, inclusi messaggi contenenti allegati dannosi e link ipertestuali dannosi. Gli aggressori di minaccia di APT25 tipicamente non utilizzano exploit zero-day, ma potrebbero sfruttarli una volta resi pubblici.
APT 24
Noto anche come: PittyTiger
Presunta attribuzione: Cina
Settori target: APT24 ha preso di mira un'ampia varietà di settori, tra cui organizzazioni del governo, della sanità, dell'edilizia e dell'ingegneria, dell'estrazione mineraria, del non profit e delle telecomunicazioni.
Panoramica: è noto che questo gruppo ha preso di mira organizzazioni con sede in paesi che includono Stati Uniti e Taiwan. APT24 ha sempre utilizzato l’utilità di archiviazione RAR per criptare e comprimere i dati rubati prima di trasferirli fuori dalla rete. Il furto di dati esfiltrato da questo aggressore si è concentrato principalmente su documenti con rilevanza politica, il che suggerisce che il suo intento è quello di monitorare le posizioni di vari stati su questioni applicabili alla controversia territoriale o di sovranità in corso in Cina.
Malware associati: PITTYTIGER, ENFAL, TAIDOOR
Vettori d'attacco: APT24 ha utilizzato email di phishing che utilizzano temi militari, di energia rinnovabile o di strategia aziendale come esche. Inoltre APT24 si impegna in operazioni informatiche dove l'obiettivo è il furto di proprietà intellettuale, concentrandosi di solito sui dati e sui progetti che rendono una particolare organizzazione competitiva nel suo settore.
APT 23
Presunta attribuzione: Cina
Settori target: media e governo negli Stati Uniti e nelle Filippine
Panoramica: APT23 ha rubato informazioni con significato politico e militare, piuttosto che proprietà intellettuale. Ciò suggerisce che APT23 potrebbe effettuare il furto di dati a supporto di operazioni di spionaggio più tradizionali.
Malware associato: NONGMIN
Vettori d'attacco: APT23 ha utilizzato messaggi di spear phishing per compromettere le reti delle vittime, includendo esche di phishing legate all'istruzione. Non è noto che gli aggressori di APT23 utilizzino exploit zero-day, ma questo gruppo ha sfruttato questi exploit una volta che sono stati resi pubblici.
APT 12
Anche noto come: Calc Team
Presunta attribuzione: Cina
Settori target: giornalisti, governo, base industriale della difesa
Panoramica: si ritiene che APT12 sia un gruppo di spionaggio informatico che si pensa abbia legami con l'Esercito Popolare Cinese di Liberazione. Gli obiettivi di APT12 sono coerenti con gli obiettivi più ampi della Repubblica Popolare Cinese (RPC). Le intrusioni e le campagne condotte da questo gruppo sono in linea con gli obiettivi della RPC e con l'interesse personale a Taiwan.
Malware associati: RIPTIDE, HIGHTIDE, THREBYTE, WATERSPOUT
Vettori d'attacco: Mandiant ha osservato APT12 consegnare questi documenti di exploit tramite email di phishing da account validi, ma compromessi. Sulla base delle attività passate di APT12, ci aspettiamo che il gruppo di minaccia continui a utilizzare il phishing come metodo di distribuzione del malware.
Risorse aggiuntive
APT 10
Anche noto come: Menupass Team
Presunta attribuzione: Cina
Settori target: costruzioni e ingegneria, aziende aerospaziali e di telecomunicazioni e governi negli Stati Uniti, in Europa e in Giappone.
Panoramica: APT10 è un gruppo di spionaggio informatico cinese che Mandiant monitora dal 2009. Storicamente ha preso di mira le aziende di edilizia e ingegneria, aerospaziale e telecomunicazioni, nonché governi negli Stati Uniti, in Europa e in Giappone. Riteniamo che prendere di mira questi settori supporti gli obiettivi della sicurezza nazionale cinese, tra cui l'acquisizione di preziose informazioni militari e di intelligence e il furto di dati aziendali riservati a sostegno delle aziende cinesi.
Malware associati: HAYMAKER, SNUGRIDE, BUGJUICE, QUASARRAT
Vettori d'attacco: questa recente attività dell'APT10 ha incluso sia lo spear phishing tradizionale sia l'accesso alle reti delle vittime tramite fornitori di servizi gestiti. Per maggiori informazioni sull'infezione tramite fornitori di servizi, vedi M-Trends 2016. Gli attacchi di spear phishing di APT10 erano relativamente poco sofisticati, sfruttando file .lnk all'interno degli archivi, file con doppia estensione (per esempio, [Redacted]_Group_Meeting_Document_20170222_doc_.exe) e, in alcuni casi, semplicemente documenti ingannevoli con nomi identici e launcher dannosi all'interno dello stesso archivio. Oltre allo spear phishing, Mandiant Threat Intelligence ha osservato che APT10 accede alle vittime tramite fornitori di servizi globali.
Risorse aggiuntive
Risorse aggiuntive
APT 9
Attribuzione presunta: sulla base dei dati disponibili, riteniamo che si tratti di un gruppo di freelance con una sponsorizzazione a opera di uno stato, probabilmente la Cina.
Settori target: organizzazioni con sede centrale in più paesi e in settori quali sanità e farmaceutica, edilizia e ingegneria, aerospaziale e difesa.
Panoramica: APT9 si occupa di operazioni informatiche il cui obiettivo è il furto di dati, concentrandosi di solito sui dati e sui progetti che rendono un'organizzazione particolare competitiva nel suo campo.
Malware associati: SOGU, HOMEUNIX, PHOTO, FUNRUN, Gh0st, ZXSHEL
Vettori d'attacco: APT9 è stata storicamente molto attiva nell'industria farmaceutica e della biotecnologia. Abbiamo notato che l'attore malintenzionato utilizza spear phishing, account validi e servizi remoti per l'accesso iniziale. In almeno un'occasione, Mandiant ha osservato APT9 presso due aziende del settore della biotecnologia e sospetta che gli attori malintenzionati di APT9 possano aver ottenuto l'accesso iniziale a una delle aziende utilizzando un rapporto di fiducia tra le due aziende. APT9 utilizza una vasta gamma di backdoor, incluse quelle disponibili pubblicamente, nonché backdoor che si ritiene siano personalizzate, ma utilizzate da più gruppi APT.
APT 8
Presunta attribuzione: Cina
Settori target: una vasta gamma di settori, tra cui media e intrattenimento, edilizia e ingegneria, aerospaziale e difesa.
Panoramica: APT8 si occupa di operazioni informatiche il cui obiettivo è il furto di proprietà intellettuale, concentrandosi di solito sui dati e sui progetti che rendono un'organizzazione competitiva nel suo campo. Riteniamo che questo sia un gruppo di freelance con sede in Cina e sponsorizzazione di uno stato. APT8 ha preso di mira organizzazioni con sede in diversi paesi, tra cui Stati Uniti, Germania, Regno Unito, India e Giappone.
Malware associati: HASH, FLYZAP, GOLFPRO, SAFEPUTT
Vettori d'attacco: gli attori malintenzionati di APT8 spesso utilizzano email di spear phishing con allegati o link dannosi oppure sfruttano server web vulnerabili con server web rivolti a internet per compromettere le organizzazioni prese di mira. Inoltre, in più intrusioni, gli attori malintenzionati di APT8 hanno inviato link dannosi alle potenziali vittime tramite chat o programmi di messaggistica immediata.
APT 7
Presunta attribuzione: Cina
Settori target: base industriale dell'edilizia, dell'ingegneria, aerospaziale e della difesa
Panoramica: APT7 si occupa di operazioni informatiche il cui obiettivo è il furto di proprietà intellettuale, concentrandosi di solito sui dati e sui progetti che rendono un'organizzazione competitiva nel suo campo. È noto che questo gruppo ha preso di mira organizzazioni con sede negli Stati Uniti e nel Regno Unito.
Malware associati: DIGDUG, TRACKS
Vettori d'attacco: gli attori malintenzionati di APT7 hanno utilizzato l'accesso a un'organizzazione per infiltrarsi in un'altra sotto la stessa società madre. Si tratta di una forma di movimento laterale, ma in questo caso è stato anche il metodo di compromissione iniziale per la seconda organizzazione.
APT 6
Presunta attribuzione: Cina
Settori target: trasporti, auto e motori, edilizia e ingegneria, telecomunicazioni, elettronica, edilizia e materiali
Panoramica: APT6 si occupa di operazioni informatiche il cui obiettivo è il furto di dati, più probabilmente dati e progetti che rendono un'organizzazione competitiva nel suo campo. APT6 ha preso di mira le organizzazioni con sede negli Stati Uniti e nel Regno Unito.
Malware associati: BELUGA, EXCHAIN, PUPTENT
Vettori d'attacco: APT6 utilizza diverse backdoor personalizzate, incluse alcune utilizzate da altri gruppi APT e quelle uniche del gruppo.
APT 5
Presunta attribuzione: Cina
Settori target: fornitori di telecomunicazioni regionali, dipendenti in Asia di aziende tecnologiche e di telecomunicazioni globali, produzione di alta tecnologia e tecnologie per le applicazioni militari negli Stati Uniti, in Europa e in Asia.
Panoramica: APT5 è attivo almeno dal 2007. APT5 ha preso di mira o violato organizzazioni di diversi settori, ma la sua attenzione sembra concentrarsi sulle società di telecomunicazioni e tecnologiche, in particolare sulle informazioni sulle comunicazioni satellitari. Già nel 2014, Mandiant Incident Response ha scoperto che APT5 apportava modifiche non autorizzate al codice dei file nel sistema operativo incorporato di un'altra piattaforma tecnologica. Nel 2015, APT5 ha compromesso un'organizzazione di telecomunicazioni statunitense che fornisce servizi e tecnologie per enti privati e governativi. Durante l’intrusione, gli attori malintenzionati hanno scaricato e modificato alcune immagini del router relative ai router di rete aziendali. Inoltre, durante questo periodo, l'APT5 ha rubato file relativi alla tecnologia militare da un'organizzazione di difesa dell'Asia meridionale. I nomi file osservati suggeriscono che gli attori malintenzionati erano interessati alle specifiche dei prodotti, alle email relative ai prodotti tecnici, alle offerte e alle proposte di approvvigionamento e ai documenti sui veicoli aerei senza equipaggio (UAV).
Malware associati: BRIGHTCREST, SWEETCOLA, SPIRITBOX, PALEJAB, WIDERIM, WINVAULT, HAPPYSAD, BIRDWORLD, FARCRY, CYFREE, FULLSILO, HELLOTHEWORLD, HAZELNUT, GIF89A, SCREENBIND, SHINYFUR, TRUCKBED, LEOUNCIA, FREESWIM, PULLTAB, HIREDHELP, NEDDYHORSE, PITCHFORK, BRIGHTCOMB, ENCORE, TABCTENG, SHORTLEASH, CLEANACT, BRIGHTCYAN, DANCEPARTY, HALFBACK, PUSHBACK, COOLWHIP, LOWBID, TIGHTROPE, DIRTYWORD, AURIGA, KEYFANG, Poison Ivy
Vettori d'attacco: sembra essere un grande gruppo di minacce composto da diversi sottogruppi, spesso con tattiche e infrastrutture distinte. Il gruppo utilizza il malware con capacità di keylogging per colpire specificamente le reti aziendali, dipendenti e dirigenti di aziende di telecomunicazioni. APT5 ha mostrato un interesse significativo nella compromissione dei dispositivi di networking e nella manipolazione del software sottostante che supporta queste appliance.
APT 4
Noto anche come: Maverick Panda, Sykipot Group, Wisp
Presunta attribuzione: Cina
Settori target: aerospaziale e difesa, ingegneria industriale, elettronica, auto e motori, pubblica amministrazione, telecomunicazioni e trasporti
Panoramica: APT4 sembra prendere di mira la base industriale della difesa (DIB) con un tasso di frequenza più elevato rispetto ad altre organizzazioni commerciali. Tuttavia, la storia delle intrusioni mirate di APT4 ha un'ampia portata.
Malware associati: GETKYS, LIFESAVER, CCHIP, SHYLILT, SWEETTOOTH, PHOTO, SOGO
Vettori d'attacco: gli attori malintenzionati di APT4 spesso sfruttano messaggi di spear phishing utilizzando temi basati sul governo, sul Dipartimento della difesa o sulla difesa industriale degli Stati Uniti. Gli attori malintenzionati di APT4 potrebbero riproporre contenuti validi provenienti da siti web del governo o del Dipartimento della difesa degli Stati Uniti all'interno dei propri corpi di messaggi per conferire loro legittimità.
APT 3
Anche noto come: UPS Team
Presunta attribuzione: Cina
Settori target: aerospaziale e della difesa, edilizia e ingegneria, alta tecnologia, telecomunicazioni, trasporti
Panoramica: il gruppo di minaccia con sede in Cina che Mandiant identifica come APT3 è uno dei gruppi di minaccia più sofisticati tracciati da Mandiant Threat Intelligence e ha una storia di utilizzo di exploit basati su browser come zero-day (ad esempio, Internet Explorer, Firefox e Adobe Flash Player). Dopo aver sfruttato con successo un host di destinazione, questo gruppo eseguirà rapidamente il dump delle credenziali, si sposterà lateralmente verso host aggiuntivi e installerà backdoor personalizzate. L'infrastruttura di comando e controllo (CnC) di APT3 è difficile da tracciare, poiché la sovrapposizione tra le campagne è minima.
Malware associati: SHOTPUT, COOKIECUTTER, SOGU
Vettori d'attacco: le email di phishing utilizzate da APT3 sono solitamente di natura generica e quasi sembrano essere spam. Gli attacchi hanno sfruttato una vulnerabilità priva di patch nelle modalità di analisi dei file Flash Video (FLV) da parte di Adobe Flash Player. L'exploit utilizza comuni tecniche di corruzione vettoriale per bypassare la randomizzazione ASLR (Address Space Layout Randomization) e utilizza la programmazione orientata al ritorno (ROP) per bypassare la prevenzione dell'esecuzione dei dati (DEP). Un trucco intelligente alla loro tecnica ROP semplifica l'exploit ed eluderà alcune tecniche di rilevamento ROP. Lo shellcode viene archiviato nel file exploit di Adobe Flash Player compresso insieme a una chiave utilizzata per la decrittografia. Il payload è codificato xor e nascosto all'interno di un'immagine.
Risorse aggiuntive
Risorse aggiuntive
APT 2
Presunta attribuzione: Cina
Settori target: militare e aerospaziale
Panoramica: questo gruppo è stato osservato per la prima volta nel 2010. APT2 si occupa di operazioni informatiche il cui obiettivo è il furto di proprietà intellettuale, concentrandosi di solito sui dati e sui progetti che rendono un'organizzazione competitiva nel suo campo.
Malware associati: MOOSE, WARP
Vettori d'attacco: email di spear phishing che sfruttano CVE-2012-0158.
APT 1
Noto anche come: Unit 61398, Comment Crew
Sospetta attribuzione: 3° Dipartimento (总参三部二局) del Dipartimento di Stato Maggiore (GSD) dell'Esercito Popolare di Liberazione Popolare (PLA), che è comunemente noto con l'indicatore di copertura delle unità militari (MUCD) come Unità 61398 (61398部队).
Settori target: tecnologia dell'informazione, aerospaziale, pubblica amministrazione, satelliti e telecomunicazioni, ricerca e consulenza scientifica, energia, trasporti, costruzione e produzione, servizi di ingegneria, elettronica di alta tecnologia, organizzazioni internazionali, servizi legali, media, pubblicità e intrattenimento, navigazione, chimica, servizi finanziari, alimentazione e agricoltura, sanità, metalli e minerario, istruzione
Panoramica: APT1 ha sistematicamente rubato centinaia di terabyte di dati ad almeno 141 organizzazioni e ha dimostrato la capacità e l'intenzione di rubare da decine di organizzazioni contemporaneamente. Il gruppo si concentra sulla compromissione di organizzazioni di una vasta gamma di settori nei paesi di lingua inglese. Le dimensioni dell'infrastruttura di APT1 implicano una grande organizzazione con almeno decine, ma potenzialmente centinaia, di operatori umani.
Malware associati: TROJAN.ECLTYS, BACKDOOR.BARKIOFORK, BACKDOOR.WAKEMINAP, TROJAN.DOWNBOT, BACKDOOR.DALBOT, BACKDOOR.REVIRD, TROJAN.BADNAME, BACKDOOR.WUALESS
Vettori d'attacco: il metodo più comunemente osservato per la compromissione iniziale è lo spear phishing. Le email di spear phishing contengono un allegato dannoso o un link ipertestuale a un file dannoso. La riga dell'oggetto e il testo nel corpo dell'email sono in genere pertinenti per il destinatario. APT1 crea anche account webmail utilizzando nomi reali di persone. Mentre gli intrusi di APT1 usano a volte backdoor disponibili pubblicamente come Poison Ivy e Gh0st RAT, la maggior parte delle volte usano quelle che sembrano essere le proprie backdoor personalizzate. Durante la loro permanenza nella rete (che potrebbe richiedere anni), APT1 di solito installa nuove backdoor man mano che rivendicano più sistemi nell'ambiente. Quindi, se una backdoor viene scoperta ed eliminata, ne rimangono altre utilizzabili. Di solito rileviamo più famiglie di backdoor APT1 sparse sulla rete di una vittima quando APT1 è presente da più di qualche settimana.
