中国政府が支援するRedDeltaは、適応型PlugX感染チェーンを用いて台湾、モンゴル、東南アジアを標的にした

概要：

2023年7月から2024年12月にかけて、Insikt Groupは、中国国家が後援するグループRedDeltaが、適応された感染チェーンを用いてモンゴル、台湾、ミャンマー、ベトナム、カンボジアを標的にし、カスタマイズされたPlugXバックドアを配布してことのを観察しました。同グループは、2024年の台湾大統領候補郭台銘氏、ベトナムの国民の祝日、モンゴルの洪水対策、会議招待状（東南アジア諸国連合（ASEAN）会議を含む）をテーマにしたルアー文書を使用しました。RedDeltaは、2024年8月にモンゴル国防省、2024年11月にベトナム共産党を侵害した可能性があります。このグループはベトナム公安省を標的にスピアフィッシングを行いましたが、Insikt Groupは侵害に成功した証拠を確認しませんでした。2024年9月から12月にかけて、RedDeltaはマレーシア、日本、アメリカ合衆国、エチオピア、ブラジル、オーストラリア、インドの被害者を標的にした可能性が高いです。

2023年後半、RedDeltaは感染チェーンの第一段階を進化させ、スピアフィッシングによって配信された可能性のあるWindowsショートカット（LNK）ファイルを利用しました。2024年に、同グループはMicrosoft Management Console Snap-In Control（MSC）ファイルの使用に移行しました。最近、RedDeltaはスピアフィッシングリンクを使用して、被害者にMicrosoft AzureでリモートホストされているHTMLファイルを読み込むよう促しています。2023年7月以降、RedDeltaは一貫してCloudflareのコンテンツ配信ネットワーク（CDN）を使用してコマンド＆コントロール（C2）トラフィックをプロキシしています。これにより、グループは正当なCDNトラフィックに溶け込み、被害者の特定を困難にしています。ロシアのBlueAlphaを含む他の国家支援グループも同様にCloudflareを利用して検出を回避しています。

RedDeltaの活動は、中国の戦略的優先事項に沿っており、東南アジア、モンゴル、ヨーロッパの政府と外交機関に焦点を当てています。同グループが2023年と2024年にアジアに焦点を当ててターゲットを定めたのは、2022年に欧州の組織をターゲットにした後、同グループがこれまで重点を置いていた分野に戻ることを意味します。RedDeltaがモンゴルと台湾を標的にしていることは、中国共産党の権力に対する脅威と見なされたグループを過去に狙ってきた経緯と一致しています。

RedDeltaについて:

RedDeltaは少なくとも2012年から活動しており、東南アジアとモンゴルを重点的に狙っています。同グループは、世界的な地政学的事象に対応し、標的を定期的に適応させてきました。RedDeltaは、2021年の中国とバチカンの会談前に、バチカンやその他のカトリック組織をPlugXでターゲットにしています。同グループは、インドの法執行機関や政府機関、インドネシアの政府機関、ミャンマー、香港、オーストラリアのその他の標的を侵害しています。

2022年、ロシアのウクライナ侵攻を受けて、RedDeltaは欧州の政府および外交機関を標的とする活動を強化しました。この活動では、アーカイブファイル（ZIP、RAR、ISO）の配信から始まる感染チェーンが使用されましたが、これはスピアフィッシングにより配信された可能性があります。ファイルには、二重拡張子（例：.doc.lnk）とMicrosoft Wordアイコンで偽装されたWindowsショートカット（LNK）ファイルが含まれていました。アーカイブ内の隠しフォルダには、ダイナミックリンクライブラリ（DLL）の検索順序ハイジャックを完了するために使用される3つのファイル（正規のバイナリ、悪意のあるDLLローダー、そして最終的にメモリにロードされた暗号化されたPlugXペイロード）が含まれていました。ユーザーがショートカットファイルを実行したことで、DLL検索順序のハイジャックが発生しました。2022年11月、RedDeltaは戦術を進化させ、脅威アクターが管理するドメインにISOファイルを配置しています。

2023年3月、Insikt Groupは、モンゴルを標的とするRedDeltaの活動を特定しました。この攻撃は、ネストされた隠しサブディレクトリ内にあるDLL検索順序ハイジャックのトライアドをトリガーするLNKファイルを含むコンテナファイル（RAR、ZIP、ISO）から始まる類似の感染チェーンを使用していました。おとり文書には、世界モンゴル協会からの招待状と、チベット仏教とモンゴルに関するBBCニュースのインタビューを主張する文書が含まれていました。RedDeltaは以下を標的としています。

• 内モンゴル自治区に焦点を当てた人権と民主化を支持するNGOを含む、複数のモンゴルの非政府組織（NGO）のメンバー
• モンゴルと日本のモンゴル仏教活動家
• モンゴルと日本の学術専門家
• 2つのモンゴルのモバイルアプリケーションの開発者

軽減策:

RedDeltaの活動を検出して軽減するために、組織は次のことを行う必要があります。

• Insikt Groupが提供するYARAおよびSigmaルールを使用して、RedDelta Windows Installer（MSI）、DLL、LNK ファイルを検出します（以下を参照）。
• 侵入検知システム（IDS）、侵入防止システム（IPS）、その他のネットワーク防御メカニズムを設定し、RedDeltaに関連する外部IPアドレスおよびドメインからの接続試行を警告またはブロックするように構成します（以下を参照）。
• ソフトウェアとアプリケーション、特にオペレーティングシステム、ウイルス対策ソフトウェア、コアシステムユーティリティを最新の状態に保ちます。
• 電子メールの通信をフィルタリングし、添付ファイルにマルウェアがないか精査する。
• システムのバックアップを定期的に実行し、ネットワーク経由でアクセスできないようにオフラインおよびオフサイトに保存します。
• 会社の機密データの厳密な区分化を遵守し、役割ベースのアクセスを導入し、全社的なデータアクセスを制限します。
• クライアントベースのホストログ記録および侵入検知機能を導入し、攻撃を早期に特定して阻止します。
• 古い認証方法を無効にすることで、脅威アクターがセキュリティを回避するのを防ぎます。
• ネットワークIDS、NetFlow収集、ホストロギング、Webプロキシなどのツールを導入し、検出ソースの手動監視を行います。
• ネットワークセグメンテーションを実践し、二要素認証や制限付きアクセスなど、機密情報には特別な保護対策を講じます。

Recorded Future® Third-Party IntelligenceモジュールとThreat Intelligence Browser Extensionを活用し、リアルタイムの監視と優先順位付けされた脆弱性パッチの適用を行います。

中国の高度で持続的な脅威活動をより広範に軽減するための包括的な推奨事項については、公開ガイダンス（1、2、3、4）およびInsikt Groupのレポート「世界をリードするサイバー大国としての中国の躍進」をご覧ください。

今後の展望：

Insikt Groupは、RedDeltaがモンゴルや台湾を含む東南アジアおよび中国周辺地域に重点を置き、カスタマイズされたPlugXバックドアを使用して世界中の組織を標的にし続けると予測しています。標的となる可能性があるのは、政府、NGO、活動家、宗教団体などです。RedDeltaは感染チェーンを継続的に進化させており、今後も主要な地政学的な展開に応じて進化し続けると予想されます。

分析全文を読むには、ここをクリックしてレポートをPDF形式でダウンロードしてください。

付録A — 侵害を示す指標

付録B — MITRE ATT&CK手法

付録C — YARAおよびSigmaルール

YARAルールとSigmaルールについては、こちらのレポート全文でご覧いただけます。