APT40に関するアドバイザリー
中国MSSが実行している手法・技術

目次
概要 _______________________________________________________________ 5
背景 ___________________________________________________________ 5
活動概要 _______________________________________________________ 5
顕著なトレードクラフト _________________________________________ 6
ツール _________________________________________________________ 7
ケーススタディ _________________________________________________ 7
ケーススタディ1 ____________________________________________________ 8
概要 _______________________________________________________________ 8
調査結果___________________________________________________________ 9
詳細 ___________________________________________________________ 9
視覚的な時系列 _________________________________________________ 9
詳細な時系列 __________________________________________________ 10
アクターの戦術及び技術 ____________________________________________ 11
Reconnaissance __________________________________________________ 11
Initial access _____________________________________________________ 11
Execution _______________________________________________________ 11
Persistence ______________________________________________________ 11
Credential access _________________________________________________ 11
Lateral movement _________________________________________________ 11
Collection _______________________________________________________ 11
Exfiltration ______________________________________________________ 11
ケーススタディ2 ___________________________________________________ 12
概要 ______________________________________________________________ 12
調査結果__________________________________________________________ 13
調査の概要 ____________________________________________________ 13

アクセス ______________________________________________________ 13
内部ホスト ____________________________________________________ 13
調査のタイムライン ____________________________________________ 14
アクターの戦術及び技術 ____________________________________________ 16
Initial access _____________________________________________________ 16
Execution _______________________________________________________ 16
Persistence ______________________________________________________ 16
Privilege escalation ________________________________________________ 16
Credential access _________________________________________________ 16
Discovery _______________________________________________________ 17
Collection _______________________________________________________ 17
Command and control ______________________________________________ 17
検知と緩和のための推奨事項 ________________________________________ 18
検知 __________________________________________________________ 18
緩和措置 ______________________________________________________ 21
ログ記録 _________________________________________________________ 21
パッチ管理 __________________________________________________ 21
ネットワークの分離 __________________________________________ 21
追加の緩和措置 ______________________________________________ 21
MITRE ATT&CK – 着目すべきAPT40のトレードクラフト __________________ 23

概要
背景
豪州通信電子局（ASD）・豪州サイバーセキュリ
ティセンター（ACSC）、米国土安全保障省サイバ
ーセキュリティ・インフラ庁（CISA）、米国国家安全保障局（NSA）、米国連邦捜査局（FBI）、英
国国家サイバーセキュリティセンター（NCSCUK ） 、 カ ナ ダ サ イ バ ー セ キ ュ リ テ ィ セ ン タ ー（CCCS）、ニュージーランド国家サイバーセキュ
リティセンター（NCSC-NZ）、ドイツ連邦情報局（BND）及び連邦憲法擁護庁（BfV）、韓国国家情報院（NIS）及びNISのサイバーセキュリティセン
ター、内閣サイバーセキュリティセンター（NISC）
及び警察庁（NPA）（以降、「署名組織」とする）
が作成した本アドバイザリーでは、中国の国家的な支援を受けたサイバーグループ及び当該グルー
プがオーストラリアのネットワークに対して現在与えている脅威について概説する。本アドバイザ
リーは、ASD・ACSCのインシデント対応における調査、及び署名組織の当該脅威に対する共通の理解に基づいている。
中国の国家的な支援を受けたサイバーグループは、
過去にもオーストラリア、米国を含む各国の組織を標的としており、以下に記載する技術は、中国の支援を受けた他のアクターによって世界中でたびたび使用されている。このため、署名組織は、
このグループ及び同様の技術が依然として自国のネットワークへの脅威にもなっているとみている。
署名組織は、当該グループが中国国家安全部（MSS）と関係しているとみている。グループの活動及び技術は、高度標的型攻撃（APT）40であることが確認されているグループ（業界の報告書
ではKryptonite Panda、GINGHAM TYPHOON、Leviathan
及びBronze Mohawkとしても知られる）のものと重複している。当該グループは、過去に、中国海南省海口市を拠点に活動し、国家安全部海南支部から業務を請け負っているとされていた。1

以下のアドバイザリーでは、攻撃を受けた2つのネットワークに対するこの攻撃者の技術について、重要なケーススタディのサンプルを提供する。サイバーセキュリティの専門家にとって、これらのケーススタディは自国のネットワーク
に対するAPT40の侵入の特定、防止、および改善措置において重要である。選ばれたケーススタ
ディでは、当該グループ又は他のグループによる再攻撃のリスクを軽減するための適切な改善措置が講じられている。故に、組織の改善措置に必要な時間を経ているため、これらは本質的に新しいケーススタディではない。

活動概要
APT40は度々オーストラリアのネットワーク、政府及び地域の民間セクターのネットワークを標的としており、APT40が国内のネットワークに与える脅威は現在も進行中である。本アドバイザリーで説明されている手法・技術（以下「トレードクラフト」と記載）は、オーストラリアのネットワ
ークに対して頻繁に行われていることが観測されている。
とりわけ、APT40は新しい脆弱性の概念実証エク
スプロイト（POC）を迅速に変換・適応させ、関連する脆弱なインフラを持つネットワークを標的として即座に利用する能力を有している。APT40
は、署名組織の国家のネットワークを含む関心の対象のネットワークに対する偵察を定期的に実施し、標的を侵害する機会を伺っている。この定期的な偵察は、関心の対象のネットワーク上にある脆弱な機器、サポートが終了した機器又は保守が行われていない機器を特定し、素早く不正なコードを展開する。APT40は、脆弱性の悪用に遅くとも2017年から成功し続けている。
APT40は、Log4J（CVE-2021-44228）、アトラシアンのConfluence（CVE-2021-31207、CVE-2021-26084）、
及びMicrosoft Exchange（CVE-2021-31207、CVE-202134523、CVE-2021-34473）など、一般に使用されているソフトウェアに含まれる新しく公開された脆
弱性を素早く悪用する。ACSC及び署名組織は、注
目度の高い新規の脆弱性が公開されると、数時間又は数日以内に、当該脆弱性に対するPOCをグループが継続して使用すると予想している。

1
米国司法省、2021年Four Chinese Nationals Working with the Ministry of State Security Charged with Global
Computer Intrusion Campaign Targeting Intellectual Property and Confidential Business Information, Including Infectious Disease
Research.

APT40に関するアドバイザリー-中国MSSが実行している手法・技術 5

図1APT40による活動のTTPフローチャート

認証情報へのアクセス及び検出• システム情報、アカウント、ドメイ
ン、ネットワーク、および接続性の検出に使用されるシステムコマンド• 認証情報の侵害に用いられる様々な手法

コマンド及び制御• アプリケーション層のウェブ及びメールプロ
トコル• ウェブサービスもウェ
ブシェルとの対話に使用される

悪意あるアクター

初期アクセス
インターネット接続されたアプリケーションの攻撃

実行及び永続化
侵害されたインフラストラ
クチャーにアクセスするためのウェブシェルの展開

防御策の回避インジケーターの削除、ファイルの難読化、偽装、防御策の妨害

当該グループは、フィッシングキャンペーンといったユーザーの介在が必要な技術よりも、インターネット接続された脆弱なインフラの悪用を選択しているとみられ、続く活動を可能にするための有効な認証情報の獲得に高い優先度を置いているとみられる。APT40は、特に侵入のライフサイク
ルの初期段階で、永続化のためのウェブシェル
（T1505.003）を度々使用する。通常、最初のアクセスに成功すると、APT40は被害を受けた環境へのアクセスを維持するための永続化に焦点を当てる。しかしながら、侵入の初期段階で発生するた
め、侵害の度合い又は実施された活動に関わらず、永続化はすべての侵入において観測される傾向が強い。

顕著なトレードクラフト
APT40は過去に、侵害されたオーストラリアのウェ
ブサイトを制御用のコマンド及び制御（C2）サーバと し て 利 用 し て き た が、 同 グ ル ー プ は 当 該 技術
（T1594）を進化させている。
APT40は、オーストラリア国内での活動において、
小規模オフィス・家庭用機器（SOHO機器）を含
む侵害された機器を攻撃インフラ及びラストホップリダイレクターとして利用する（T1584.008）という世界的なトレンドを取り入れている。これにより、署名組織は当該グループの動きの特性をより明らかにすることができた。
6 APT40に関するアドバイザリー-中国MSSが実行している手法・技術

横展開及び収集
リモートデスクトッププロト
コル（RDP）及びSMB/Windows
Sharesを含むリモートサービ
スの使用

窃取
既存のコマンド及び制御
インフラストラクチャーを介した窃取これらのSOHO機器の多くは、サポートが終了している機器又はパッチがあてられていない機器であり、Nデイ攻撃のためのソフトターゲットとなる。一度侵害されたSOHO機器は、正当なトラフ
ィックに紛れてネットワーク防御を困難にする攻撃（T1001.003）の拠点となる。
また、この技術は、世界中で中国の国家の支援を受ける他のアクターにも度々使用されており、署名組織は当該技術を共有された脅威と見なしている。詳細については、共同アドバイザリー「 People ’ s Republic of China State-Sponsored Cyber
Actors Exploit Network Providers and Devices」及び「PRC
State-Sponsored Actors Compromise and Maintain Persistent
Access to U.S. Critical Infrastructure」を参照すること。
APT40は、被害者側に公開されるC2インフラとして、調達またはリースしたインフラを使用することがあるが、このようなトレードクラフトは相対的に衰退しているとみられる。

ツール

ケーススタディASD・ACSCは、以下に概説する調査によって特定された悪意あるファイルの一部を共有する。幅広いネットワーク防衛コミュニティー及びサイバー
セキュリティコミュニティーが防御すべき脅威についての見識を深められるようにすることを目的に、これらのファイルはVirusTotalにアップロード
されている。

ASD・ACSCは、アクターがツール及びトレードク
ラフトをどのように使用しているのかに関する気づきを提供するために、匿名化された2つの調査報告書を共有する。

MD5

ファイル名

26a5a7e71a601be991073c78d513dee3

horizon.jsp

87c88f06a7464db2534bc78ec2b915de

Index_jsp$ProxyEndpoint$Attach.class

597 B | Javaバイトコード

6a9bc68c9bc5cefaf1880ae6ffb1d0ca

Index_jsp.class

5 kB | Java バイトコード

64454645a9a21510226ab29e01e76d39

Index_jsp.java

5 kB | Javaソース

e2175f91ce3da2e8d46b0639e941e13f

Index_jsp$ProxyEndpoint.class

4 kB | Java バイトコード

9f89f069466b8b5c9bf25c9374a4daf8

Index_jsp$ProxyEndpoint$1.class

3 kB | Java バイトコード

187d6f2ed2c80f805461d9119a5878ac

Index_jsp$ProxyEndpoint$2.class

1 kB | Java バイトコード

ed7178cec90ed21644e669378b3a97ec

Nova_jsp.class

7 kB | Java バイトコード

5bf7560d0a638e34035f85cd3788e258

Nova_ jsp$TomcatListenerMemShellFromThread.
class

8 kB | Java バイトコード

e02be0dc614523ddd7a28c9e9d500cff

Nova_jsp.java

付加情報
1 kB | Javaソース

15 kB | Javaソース

APT40に関するアドバイザリー-中国MSSが実行している手法・技術 7

ケーススタディ１
幅広い配布を可能にするため、この報告書は匿名化されている。影響を受けた組織は、以降、「組織」とする。
被害を受けた組織の特定を避けるとともに、ASD・ACSCのインシデント対応手法を保護するため、詳細事項の一部は省かれている。
概要
調査により大量の機密データがアクセスされた痕跡及びアクターが同ネットワーク上で横展開を行った痕跡が明かになった（T1021.002）。侵害の大部分は、当該グループがネットワーク内への攻撃ベクトルを複数確立したこと、ネット
ワークが水平構造であったこと及びファイルを任意にアップロードするのに使用可能な脆弱な内製ソフトウェアを利用していたことによって容易になった。流出したデータには、当該グループによるログインが可能となる特権アカウン
8月中旬、ASD・ACSCは、当該グループが使用す
トの認証情報や、たとえ元の攻撃ベクトルを塞る侵害されたと思われる機器からの組織のネッいだとしても、アクターによる不正なアクセス
トワークに対する不正な通信について組織に通を再度可能とするおそれのあるネットワーク情
知し、8月下旬に組織の同意を得て、組織のネッ報が含まれていた。初期に侵害されたマシンか
トワーク上の影響を受けたと思われるホストに、らは、上記以外の悪意あるツールは発見されなホストベースのセンサーを設置した。当該セン
かったが、これは、アクターによる正当な特権
サーは、ASD・ACSCのインシデント対応分析官
アカウントへのアクセスにより、追加のツールによる徹底したデジタルフォレンジック調査をを必要としなかったためとみられる。調査の結可能にした。ASD・ACSCの分析官は、入手した
果、この組織はAPT40によって意図的に標的にさセンサーデータを使って、当該グループによるれた可能性が高く、既知の脆弱性によって日和
攻撃のマッピングを行い、観測された事象の詳見的に被害に遭ったわけではないことが判明し細なタイムラインの作成に成功した。
た。

この報告書では、2022年の7月から9月にかけて発生した組織のネットワークの侵害に対する
ASD・ACSCによる調査結果について詳述する。
この調査報告書は、観測された悪意ある攻撃について要約し、改善のための推奨事項をまとめるために組織に提供された。調査結果は、本侵害がAPT40によってなされたものであることを示している。

ASD・ACSCが観測した7月から8月にかけてのアクターの主な攻撃は以下の通りである。
• ホストの列挙：アクターによるネットワー
クの構成図の作成を可能にする•

ウェブシェルの使用：ネットワーク上にアクターの攻撃の足がかりを提供し、コ
マンド実行を可能にする•

アクターにより悪意ある目的で利用されるその他のツールの展開

8 APT40に関するアドバイザリー-中国MSSが実行している手法・技術

調査結果
2022年8月中旬、ASD・ACSCは、少なくとも7月か
ら8月の間に、国家が支援するサイバーグループに関連すると思われる悪意のあるIPアドレスと組織のコンピュータネットワークが相互に通信していたことを組織に通知した。侵害された端末は、
スモールビジネスユーザー又はホームユーザーが所有するものであったと考えられる。
8月下旬、ASD・ACSCは、組織のネットワーク上の侵害の影響を受けた痕跡を示したホストに、ホストベースのエージェントを配置した。
ログ設定又はネットワーク設計上の理由により、調査に有用であったと考えられるアーティファクトのいくつかは利用することができなかった。
それでも、組織による利用可能な全データの迅速な提供は、ASD・ACSCのインシデント対応者による包括的な分析及びAPT40によるネットワーク上の潜在的な攻撃の把握を可能にした。
9月にASD・ACSCと相談した上で、組織はASD・
ACSCからの最初の通知で特定されていたIPアドレ
スを拒否リストに追加することを決定した。10月に、組織は改善措置を開始した。

詳細
7月初旬、アクターは<webapp>2-ext上で動作しているカスタムウェブアプリケーションをテストし当該アプリケーションの悪用が可能であったため（T1190）、DMZ内に足場を築くことができた。
これは同ネットワーク及び把握可能な全てのドメインを列挙するのに利用された。侵害された認証情報（T1078.002）は、アクティブディレクトリの検索（T1018）及びファイル共有のマウントによるDMZ内にある複数のマシンからのデータの窃取（T1039）に悪用された。アクターは、有効なネットワークの認証情報をサーバから取得するために、Kerberoasting攻撃を行った（T1558.003）。当該
グループよる、DMZ又はその他の内部ネットワー
クにおける追加のポイントオブプレゼンス（POP）の獲得は観測されなかった。

視覚的な時系列
以下のタイムラインは、組織のネットワーク上で観測された悪意あるアクターによる攻撃の概観を示す。

ネットワークの偵察
ホストの列挙最初の検出

T1082 System Information Discovery

T1021.002 Remote Services： SMB/Windows
Admin Shares

アクターによる、組織のために構築されたカスタムウェブア
プリケーションのテスト

ホストの列挙及び永続化の確立

T1135 ネットワーク共有の検出

正規の認証情報を用いた最初のログオ
ンの観測

ネットワークベースの偵察及びSMB共有のマウン
ト、ネットワークベースのスキャン、ドメインの列挙を含むアクターの活動

悪用

悪意ある通信

接続の再確立T1190 Exploit Public-Facing
Application

組織のマシンと国家的な支援を受けた既知のインフラストラクチャーとの間の最初の通信の観測

T1090 Proxy

ウェブアプリケーションの悪用及びウェブシェルの作成

アクターによるSSFツールの通信の再確立（他の日付の中で7月28日の活動と同様）

APT40に関するアドバイザリー-中国MSSが実行している手法・技術 9詳細な時系列
7月：アクターが、組織のために作られたカスタ
ムウェブアプリケーション（以下「ウェブアプリ
ケーション」又は「ウェブアプリ」）のフロントページへの最初の接続（T1190）を、TLS接続を経由して確立する（T1102）。それ以外の目立った活動は観測されていない。
7月： アクターがさらなる調査のためにエンドポ
イント 2 を探索し、ウェブアプリケーションのウェブサイトの列挙を開始する。
7月：アクターが特定のエンドポイントを攻撃する試みに集中する。
7月：アクターが、別のページに設置したウェブ
シェルを経由して、ウェブサーバへの「POST」コ
マンドの送信に成功する。おそらく同じアクター
によって用いられたと思われる2番目のIPアドレス
も、おなじURLに「POST」コマンドの送信を始める。アクターは多数のウェブシェルとみられるプ
ログラムを作成しテストした。
正確な攻撃手法は不明。しかし、<webapp>2-ext上にファイルを作成するために特定のエンドポイン
トを標的としたのは明らかである。
共通した関心および初期接続が数分違いで発生していることから、ASD・ACSCは2件のIPアドレスによる接続は同じ侵入活動の一部であるとみている。

7月：アクターは、オープンソースツールである
SSFを展開し、同ツールを使用して悪意あるインフラに接続させた。この接続は、アクターの攻撃用の端末から組織の内部のネットワークへの通信をトンネルするのに用いられる。当該端末名は、
攻撃者がサービスアカウントの認証情報の使用を試みた際のイベントログに現れている。
8月：アクターは、サービスアカウントを含む接続の確立に失敗するなど限られた活動しかしていないとみられる。
8月：アクターが重要なネットワーク及びアクティブディレクトリの列挙を実施する。新たに侵害されたアカウントは、その後DMZ内のWindows端末への共有のマウント4に利用され、アクターによるデータ窃取を可能とした。
これは、DMZ内でマウント可能なマシンにおける、窃取認証情報の機に乗じた使用とみられる。アクターによる内部ネットワークを標的とした同様の活動はファイアウォールによりブロックされた。
8月～9月：SSFツールは再び悪意あるIPアドレスとの接続を確立した。当該グループのアクセスがブロックされるまでの間、グループが攻撃を追加で実行している様子は観測されていない。
9月：組織は、悪意あるIPアドレスを組織のファイ
アウォールで拒否リストに加え、当該IPアドレスをブロックする。

7月：グループは、権限昇格の機会を探り、異なるウェブシェルを展開しながら、ホストの列挙を続ける。アクターは、侵害した下記の認証情報を使ってウェブアプリケーションにログインする：<firstname.surname>@<organisation domain>.
アクターは、活動において<webapp>2-extにおける権限昇格には成功しなかったと考えられる。一方で、アクターは、ネットワークベースの攻撃に方向転換した。
7月：アクターが内部でアクセス可能なバイナリにハードコーディングされていた可能性が高い侵害されたサービスアカウント3の認証情報をテストす
る。

2
3
4

この文脈におけるエンドポイントは、ウェブアプリケーションの機能である。
サービスアカウントは、個別のユーザーではなく、サービスに紐づいている。マイクロソフトのコーポレートドメインには、多様な種類のアカウントがある。
共有のマウントは、ユーザー又はユーザーグループがアクセス可能なシステム構成へのファイル作成のプロセスである。

10 APT40に関するアドバイザリー-中国MSSが実行している手法・技術

アクターの戦術及び技術
MITRE ATT&CKフレームワークは、脅威アクターがサイバー空間で利用する戦術と技術に関するナレッジベースである。同フレームワークは米国の非営利組織であるMITREコーポレーションによって作成され、脅威アクターの振る舞いに関する共通のグローバル言語として機能している。
ASD・ACSCは、アクターの悪意ある行動は
以下の技術及び戦術に関連すると判断する。

Reconnaissance
T1594 – Search Victim-Owned Websites
アクターは、ネットワークにアクセスする機会を特定するために、カスタムウェブアプリケーショ
ンのウェブサイトの列挙を行った。

Initial access
T1190 – Exploit Public-Facing Application （カスタムウェ
ブアプリケーションへの攻撃に関連）
T1078.002 – Valid Accounts: Domain Accounts（侵害した認証情報でのログオンに関連）
アクターは、インターネット上に公開されたカス
タムウェブアプリケーションを悪用し、最初のア
クセスポイントを得た。その後、アクターは侵害した認証情報を用いて、ネットワークへのアクセスをさらに進めることができた。

Persistence
T1505.003 – Server Software Component: Web Shell（アクセスを確立するためのウェブシェル及びSSFの利
用に関連）

Credential access
T1552.001 – Credentials from Password Stores（ビルディ
ングマネジメントシステム（BMS）に係るパスワ
ードファイルに関連）
T1558.003 – Steal or Forge Kerberos Tickets: Kerberoasting（ネットワークの認証情報を得るための攻撃に関連）Lateral movement
T1021.002 – Remote Services: SMB Shares（アクターが複数端末からSMB共有をマウントしたことに関連）

Collection
T1213 – Data from Information Repositories（BMSサーバ
上の手順書／文書に関連）

Exfiltration
T1041 – Exfiltration Over C2 Channel （アクターによるアクティブディレクトリ及びマウントした共有からのデータの窃取）

Execution
T1059 – Command and Scripting Interpreter（ウェブシェ
ルを介したコマンドの実行に関連）
T1072 – Software Deployment Tools（アクターがオープ
ンソースツール「Secure Socket Funnelling(SSF)」を使用してIPへ接続したことに関連）

APT40に関するアドバイザリー-中国MSSが実行している手法・技術 11

ケーススタディ2
幅広い配布を可能にするため、この報告書は匿名化されている。影響を受けた組織は、以降、「組織」とする。被害を受けた組織の特定を避けるとともに、ASD・ACSCのインシデント対応手法を保護するため、詳細事項の一部は省かれている。
概要
この報告書では、2022年4月に発生した組織のネットワークへの侵害に関するASD・ACSCによる調査結果について詳述する。この調査報告書は、観測された悪意ある攻撃について要約し、改善のための推奨事項をまとめるために、組織に提供された。調査結果は、本侵害がAPT40によってなされたものであることを示している。
2022年5月、ASD・ACSCは、組織に対し、組織のネットワークに影響を与える悪意ある活動が、2022年4月以降に行われた疑いがあることを通知した。その後、組織は、組織が所有するコーポ
レートリモートアクセスソリューションへのロ
グインポータルを提供するインターネット接続されたサーバ上に悪意あるソフトウェアを発見したとACSCに伝えた。
同サーバは、リモートアクセスログイン及びア
イデンティティ管理製品を使用していた。以後、報告書ではこのサーバを「侵害された機器」と記載する。本報告書は、ASD・ACSCが実施した調査に対応して組織のために作成された調査結果及び改善措置に関するアドバイザリーにつき詳述する。
痕跡は、遅くとも2022年4月以降、組織のネット
ワークの一部が継続して組織のリモートアクセ
スログインポータルを経由し悪意あるアクター
によって侵害されていたことを示唆している。
同サーバは、複数のアクターによって侵害されていた可能性があり、かつ侵害の発生前後に広く公表されたリモートコード実行（RCE）の脆
弱性の影響を受けた可能性がある。

12 APT40に関するアドバイザリー-中国MSSが実行している手法・技術

ASD・ACSCが観測したアクターの主な攻撃には、以下が含まれる。
• ホストの列挙：アクターによる同ネットワークの構成図の作成を可能にする•

インターネットに接続しているアプリケー
ションへの攻撃及びウェブシェルの使用：
同ネットワーク上にアクターの攻撃の足がかりを提供し、コマンド実行を可能にする•

ソフトウェアの脆弱性を悪用した権限昇格• 横展開を可能にするための認証情報の収集
ASD・ACSCは、2022年4月にある悪意あるアクター
が、侵害された機器上で数百件の一意のユーザー
名とパスワードのペア、リモートアクセスセッシ
ョンに関連する多数の多要素認証コード及び技術
的アーティファクトを窃取したことを発見した。
組織による確認の結果、パスワードは正規のものであることが判明した。ASD・ACSCは、アクター
が、リモートログイン接続のハイジャック又は正規ユーザーとしてのリモートログイン接続の作成
による、正規ユーザーアカウントを使用した組織のコーポレートネットワークへのアクセスを企図して、当該技術的アーティファクトを収集した可能性があると評価している。

調査結果
調査の概要

アクセス

ASD・ACSCは、組織の従業員にリモートログイン
接続を提供する機器を当該アクターが侵害し、さらなる攻撃を試みるためにこの侵害を利用したと判断した。

侵害された機器のホストは、仮想デスクトップ（VDI）セッションに接続するユーザーに対して、
アクティブディレクトリ及びウェブサーバを通じた認証を提供する（T1021.001）。

同機器は、負荷分散されている3台のホストで構成されている。最も初期の侵害の痕跡は複数の負荷分散されたホストでみられる。組織は、初期の侵害の直後に3台の負荷分散されたホスト群のうち2台をシャットダウンした。
その結果、その後のすべての攻撃は、1台のホスト上で発生した。侵害された機器に関係するサーバも、同様の方法で負荷分散されている。
アクターは、2022年4月以降に、既知の脆弱性を利用して侵害された機器にウェブシェルを展開したとみられる。当該グループのアクターは、同機器上で権限の昇格に成功したものと判断される。使用可能なログの不足のため、ASD・ACSCは攻撃の全容を特定できなかったが、端末上の痕跡は、あるアクターが以下を実施したことを示している。
•

実在する数百のユーザー名とパスワードの
ペアの収集

•

悪意あるアクターが正規ユーザーとしてVDI
セッションへアクセスすることを可能にしたと考えられる技術的アーティファクトの収集場所侵害された機器のホスト名（負荷分散）

データセンター1

HOST1、HOST2、HOST3

機器のインフラには、同機器により生成され、ダウンロードされた認証トークンを取得すると、当該ユーザーに対するVDIへのトンネルを提供する
アクセスゲートウェイホストを含む。
当該ホストのいずれにも侵害の痕跡はなかった。
しかし、アクセスゲートウェイホスト上のログに既知の悪意あるIPアドレスとの顕著な通信の痕跡があった。これは、同ホスト上で発生した攻撃又はこのホストに到達したアクターのインフラとのネットワーク接続を反映している可能性がある。
同攻撃の性質については、入手可能な痕跡では特定できなかったが、アクターが組織のネットワー
ク内で横展開を企図したことを示唆している（TA0008）。

内部ホスト

ASD・ACSCは、アクターが組織のネットワークへの侵害をさらに進めようと企図したと評価している。アクターによって窃取されたアーティファク
トは、おそらく管理者を含む任意のユーザーアカ
ウントを用いた正規ユーザーとしての仮想デスク
トップ接続のハイジャック又は実行を可能にしたとみられる。アクターは、この攻撃ベクトルを使い、永続化及び他の目標を達成するために、同組織のサービスをさらに侵害した可能性がある。

ASD・ACSCは、内部組織のネットワークセグメン
トから得た限られたデータを調査した。内部組織のネットワークセグメントに影響を与えたと認められた、企図された又は成功した悪意ある活動には、アクターによるVDI関連アーティファクトへの ア ク セ ス 、 内 部 の SQL サ ー バ の 抽 出（T1505.001）、及び観測された既知の悪意あるIP
アドレスからアクセスゲートウェイ機器を経由した説明のつかない通信（TA0011）を含む。

ホスティングプロバイダーが管理する環境内の他の機器には、侵害の痕跡は見られなかった。

アクターは、侵害した機器へのアクセスを用いて、実在するユーザー名、パスワード（T1003）及びMFAトークンの値（T1111）を収集した。また、同アクターは仮想デスクトップログイン接続を生成するために用いられる認証アーティファクトであるJSON Web Token（JWT）（T1528）を収集した。
アクターは、これらを用いて仮想デスクトップセ
ッションを作成又はハイジャックし（T1563.002）、
正規ユーザーとして内部組織ネットワークセグメ
ントへアクセス（T1078）できた可能性がある。
APT40に関するアドバイザリー-中国MSSが実行している手法・技術 13

また、アクターは、侵害された機器へのアクセスを組織の内部ネットワーク上のSQLサーバを抽出する（T1505.001）ためにも利用した。アクターが
このデータにアクセスした可能性がある。

前述のとおり、これは、内部ネットワークにピボットする方法として、悪意あるサイバーアクター

アクセスゲートウェイ機器から入手可能な痕跡か
ら、既知の悪意あるIPアドレスからこの端末を通したネットワークトラフィック又はこの端末へのネットワークトラフィックが発生したことが示されている。

調査のタイムライン

がこの端末に影響を与えた又は利用したことを示している可能性がある。

調査の過程で発見された主要な攻撃のタイムラインを下表に示す。

日付

事象

2022年4月

既知の悪意あるIPアドレスがアクセスゲートウェイホストHOST7と通信。この通信の性質は判断できなかった。
すべてのホスト、すなわちHOST1、HOST2及びHOST3が、一つ以上の悪意あるアクターによって侵害され、ウェブシェルがこれらのホストに配置された。

2022年4月

HOST2上でログファイルが作成もしくは修正された。このファイルには悪意あるアクターがキャプチャしたと考えられる認証情報が含まれている。
/etc/security/opasswdファイル及び/etc/shadowファイルがHOST1及びHOST3上で修正され、複数のパスワードが変更されたことを示している。HOST1上で利用可能な痕跡は、ユーザー「sshuser」のパスワードが変更されたことを示唆している。
組織によりHOST2がシャットダウンされた。

2022年4月

追加のウェブシェル（T1505.003）がHOST1及びHOST3上で作成された。HOST1はHOST3
からSSHブルートフォース攻撃を受けた。
HOST3上のログファイルが修正された（T1070）。このファイルには悪意あるアクターがキャプチャしたと考えられる認証情報が含まれている（T1078）。
JWTがキャプチャされ（T1528）、HOST3上のファイルに出力された。
組織によりHOST3がシャットダウンされた。以降の全ての攻撃はHOST1上で発生する。

2022年4月

2022年4月

HOST1上で追加のウェブシェルが作成された（T1505.003）。JWTがキャプチャされ、HOST1上のファイルに出力された。
HOST1上で追加のウェブシェルが作成され（T1505.003）、既知の悪意あるIPアドレス
が同ホスト（HOST1）と通信する（TA0011）。
既知の悪意あるIPアドレスがアクセスゲートウェイホストであるHOST7と通信する。

2022年5月

既知の悪意あるIPアドレスがアクセスゲートウェイホストであるHOST7と通信した（TA0011）。
あるユーザーに対する認証のイベントが、HOST1上のログで既知の悪意あるIPアドレスにリンクされている。追加のウェブシェルがこのホスト上で作成される（T1505.003）。

2022年5月
2022年5月

2022年5月

HOST1上のスクリプトがアクターによって修正された（T1543）。このスクリプトには、内部SQLサーバからデータを抽出したであろう機能が含まれている。
HOST1上の追加のログファイルが最後に修正された（T1070）。このログファイルには正当であるとみられる組織のネットワークに対するユーザー名とパスワードのペアが含まれている（T1078）。
追加のログファイルが最後に修正された（T1070）。このファイルはHOST1から収集されたJWTを含んでいる。

14 APT40に関するアドバイザリー-中国MSSが実行している手法・技術

2022年5月
2022年5月
2022年5月

HOST1上で追加のウェブシェルが作成された（T1505.003）。この日、組織は作成日が2022年4月であるウェブシェルを発見したことをACSCに報告した。
HOST1上で、Log4jHotPatch.jarという名称のスクリプトを含む、多数のスクリプトが作成された。
アクセスゲートウェイホストに対して2つのオープンポートを追加するために、
iptables-saveコマンドが使用された。これらのポートは、9998及び9999だった（T1572）。

APT40に関するアドバイザリー-中国MSSが実行している手法・技術 15

アクターの戦術及び技術調査中に判明したいくつかの戦術と技術を以下に示す。

Initial access
T1190 Exploit public facing application
アクターは、リモートアクセスのログインおよびアイデンティティ管理製品における、RCE、権限昇格及び認証バイパスの脆弱性を悪用してネットワークへの初期アクセスを行った可能性がある。
次の理由により、この初期アクセスの方法が使用された可能性が最も高いと考えられる。
•

同サーバは、初期アクセスが行われた時点でこれらのCVEに対して脆弱であった。

•

既知のアクターのインフラから当該脆弱性の悪用の企図があった。

•

最初に認識された内部の悪意ある活動は、
脆弱性の悪用の試行直後に発生した。

Execution
T1059.004 Command and Scripting Interpreter: Unix Shell
前述の脆弱性の悪用に成功した当該アクターは、影響を受けた機器上で利用可能なUnixシェルでコ
マンドを実行できた可能性がある。
当該アクターによって実行されたコマンドの全
詳細は同機器によるログが記録されていなかったため、提供することができない。

Persistence
T1505.003 Server Software Component: Web Shell
アクターは、影響を受けた機器にいくつかのウェブシェルを展開した。複数の異なるアクター
がウェブシェルを展開した可能性があるが、当該ウェブシェルを用いて攻撃を行ったアクター
はごく少数だった。
ウェブシェルは、侵害された機器上で、同アクターによる任意コマンドの実行を可能にしたと考えられる。

16 APT40に関するアドバイザリー-中国MSSが実行している手法・技術

Privilege escalation
T1068 Exploitation for Privilege Escalation
入手可能な痕跡では、当該アクターによって獲得された権限のレベルは明らかになっていない。しかし、ウェブシェルを用いることにより、アクタ
ーは、少なくとも侵害された機器上のウェブサー
バと同レベルの権限を獲得していたと考えられる。
アクターは、侵害された機器上に存在していたとみられる脆弱性により、管理者権限を獲得することができたと考えられる。

Credential access
T1056.003 Input Capture: Web Portal Capture侵害された機器上の痕跡は、アクターが、正規のものと思われる数百のユーザー名とパスワードのペアを平文でキャプチャしたことを示した。これ
らの情報は、認証情報をファイルに出力する正規の認証プロセスに何らかの変更を加えてキャプチャされた可能性がある。
T1111 Multi-Factor Authentication Interception
アクターは、正規のログインに対応するMFAトー
クンの値もキャプチャした。MFAトークンの値は、当該値をファイルに出力する正規の認証プロセスに変更を加えてキャプチャされた可能性がある。
MFAトークンのセキュリティを確保するための固有の値を保存する「秘密サーバ」に対する侵害の痕跡はない。
T1040 Network Sniffing
アクターは侵害された機器上のHTTPトラフィック
をキャプチャすることによりJWTをキャプチャしたとみられる。侵害された機器上でtcpdumpユーテ
ィリティが実行された痕跡があり、アクターはこれを用いてJWTをキャプチャした可能性がある。
T1539 Steal Web Session Cookie
上述のように、アクターはWebセッションのCookieに類似したJWTをキャプチャした。これらは、同アクターがさらなるアクセスを確立するために再利用された可能性がある。

Discovery
T1046 Network Service Discovery
同一ネットワークセグメントの他の機器をスキャンするために、侵害された機器上でネットワーク
をスキャンするnmapユーティリティが実行された痕跡がある。これは、横展開の機会を提供する他の到達可能なネットワークサービスを検出するた
めにアクターが用いた可能性がある。

Collection
入手可能な痕跡からは、当該アクターがどのようにデータを収集したのか、侵害された機器又は他のシステムから具体的に何を収集したのかは明らかになっていない。
しかし、前述のように、アクターが、キャプチャされた認証情報（T1003）、MFAトークンの値（T1111）、JWT等の侵害された機器上の全てのフ
ァイルにアクセスした可能性がある。

Command and control
T1071.001 Application Layer Protocol: Web Protocols
アクターは、ウェブシェルを用いてコマンドの実行及び制御を行った。ウェブシェルコマンドは同機器上のウェブサーバを用いHTTPS経由で送信されたとみられる（T1572）。
T1001.003 Data Obfuscation: Protocol Impersonation
アクターは、正規のトラフィックに紛れるように設計された攻撃の開始点として、侵害された端末を利用した。

APT40に関するアドバイザリー-中国MSSが実行している手法・技術 17

検知と緩和のための推奨事項
ASD・ ACSCは、 ASDの「エッ センシャルエ イト（Essential Eight）」及び関連するサイバーセキュ
リティインシデントの緩和戦略の実施を強く推奨している。以下にAPT40の侵入の検知及び防止のためにとられるべきネットワークセキュリティ上の措置に対する推奨事項を示す。そのあと表1に4つの重要なTTPに対する具体的な緩和策について
まとめる。

検知
上記で特定されたファイルの一部は、
C:\Users\Public\*又はC:\Windows\ Temp\*といった場所に置かれていた。これらの場所は、通常、全ユー
ザーに書き込み権限がある場所、すなわちWindowsに登録された全てのユーザーアカウントからアクセスできるディレクトリ及びサブディレ
クトリであるため、データの書き込みを行うのに都合がよい場所であると考えられる。多くの場合、書き込み後、全てのユーザーが当該ファイルにア
クセスできるため、横展開、防衛策の回避、低い権限での実行、及び情報摂取の準備の機会をもたらす。
以下のSigmaルールは、疑わしい場所からのプロ
セス実行を悪意ある活動の指標として検知する。
全ての場合において、悪意ある活動及び属性を確認するためのさらなる調査を行う必要がある。
Title: World Writable Execution - Temp
process

execution

1. Examine information directly associated withthis file execution, such as the user context,
execution integrity level, immediate follow-on
activity and images loaded by the file.
2. Investigate contextual process, network, file andother supporting data on the host to help makean assessment as to whether the activity is
malicious.
3. If necessary attempt to collect a copy of the filefor reverse engineering to determine whether it
is legitimate.
References:https://www.elastic.co/guide/en/security/current/pro
cess-execution-from-an-unusual-directory.html
Author: ASD’s ACSC
Date: 2024/06/19
Status: experimental
Tags:- tlp.green- classification.au.official- attack.execution
Log Source:
category: process_creation
product: Windows

ID: d2fa2d71-fbd0-4778-9449-e13ca7d7505c
Description: Detect
C:\Windows\Temp

Investigation:

from

Background:This rule looks specifically for execution out of
C:\Windows\Temp\*. Temp is more broadly used bybenign applications and thus a lower confidence
malicious indicator than execution out of other world
writable subdirectories in C:\Windows.
Removing applications executed by the SYSTEM or
NETWORK SERVICE users substantially reduces thequantity of benign activity selected by this ruleThis means that the rule may miss malicious
executions at a higher privilege level but it isrecommended to use other rules to determine if auser is attempting to elevate privileges to SYSTEM
18 APT40に関するアドバイザリー-中国MSSが実行している手法・技術

Detection:
temp：
Image|startswith: 'C:\\Windows\\Temp\\'common_temp_path:
Image|re|ignorecase: 'C:\\Windows\\Temp\\\{[a-fA-F0-9]{8}-([a-fA-F0-9]{4}-){3}[a-fA-F0-9]{12}\}\\'
system_user:
User:- 'SYSTEM'- 'NETWORK SERVICE'

is legitimate.

dismhost:
Image|endswith: 'dismhost.exe'
known_parent:
ParentImage|endswith:- '\\esif_uf.exe'- '\\vmtoolsd.exe'- '\\cwainstaller.exe'- '\\trolleyexpress.exe'
condition: temp and not (common_temp_path or
system_user or dismhost or known_parent)
False Positives:- Allowlist auditing applications have been
observed running executables from Temp
- Temp will legitimately contain an array of setup
applications and launchers, so it will be worth
considering how prevalent this behaviour is on amonitored network (and whether or not it canbe allowlisted) before deploying this rule
Level: low
Title: World Writable Execution - Non-Temp System
Subdirectory

References:https://gist.github.com/
mattifestation/5f9de750470c9e0e1f9c9c33f0ec3e56
https://www.elastic.co/guide/en/security/current/
process-execution-from-an-unusual-directory.html
Author: ASD’s ACSC
Date: 2024/06/19
Status: experimental
Tags:- tlp.green- classification.au.official- attack.execution
Log source:
category: process_creation
product: Windows
Detection:
writable_path:

ID: 5b187157-e892-4fc9-84fc-aa48aff9f997

Image|contains:

Description: Detect process execution from a world
writable location in a subdirectory of the Windows OS
install location.

- ':\\$Recycle.Bin\\'- ':\\AMD\\Temp\\'- ':\\Intel\\'- ':\\PerfLogs\\'- ':\\Windows\\addins\\'- ':\\Windows\\appcompat\\'- ':\\Windows\\apppatch\\'- ':\\Windows\\AppReadiness\\'- ':\\Windows\\bcastdvr\\'- ':\\Windows\\Boot\\'- ':\\Windows\\Branding\\'- ':\\Windows\\CbsTemp\\'- ':\\Windows\\Containers\\'- ':\\Windows\\csc\\'- ':\\Windows\\Cursors\\'- ':\\Windows\\debug\\'- ':\\Windows\\diagnostics\\'- ':\\Windows\\DigitalLocker\\'- ':\\Windows\\dot3svc\\'- ':\\Windows\\en-US\\'- ':\\Windows\\Fonts\\'- ':\\Windows\\Globalization\\'- ':\\Windows\\Help\\'- ':\\Windows\\IdentityCRL\\'- ':\\Windows\\IME\\'- ':\\Windows\\ImmersiveControlPanel\\'- ':\\Windows\\INF\\'- ':\\Windows\\intel\\'- ':\\Windows\\L2Schemas\\'- ':\\Windows\\LiveKernelReports\\'

Background:This rule looks specifically for execution out of world
writable directories within C:\ and particularly
C:\Windows\*,
with
theexception
of
C:\Windows\Temp (which is more broadly used bybenign applications and thus a lower confidence
malicious indicator).
AppData folders are excluded if a file is run as SYSTEM- this is a benign way in which many temporary
application files are executed.
After completing an initial network baseline andidentifying known benign executions from theselocations, this rule should rarely fire.
Investigation:
1. Examine information directly associated with thisfile execution, such as the user context, execution
integrity level, immediate follow-on activity andimages loaded by the file.
2. Investigate contextual process, network, fileand other supporting data on the host to help
make an assessment as to whether the activity
is malicious.
3. If necessary attempt to collect a copy of the filefor reverse engineering to determine whether it

APT40に関するアドバイザリー-中国MSSが実行している手法・技術 19

- ':\\Windows\\Logs\\'- ':\\Windows\\media\\'- ':\\Windows\\Migration\\'- ':\\Windows\\ModemLogs\\'- ':\\Windows\\ms\\'- ':\\Windows\\OCR\\'- ':\\Windows\\panther\\'- ':\\Windows\\Performance\\'- ':\\Windows\\PLA\\'- ':\\Windows\\PolicyDefinitions\\'- ':\\Windows\\Prefetch\\'- ':\\Windows\\PrintDialog\\'- ':\\Windows\\Provisioning\\'- ':\\Windows\\Registration\\CRMLog\\'- ':\\Windows\\RemotePackages\\'- ':\\Windows\\rescache\\'- ':\\Windows\\Resources\\'- ':\\Windows\\SchCache\\'- ':\\Windows\\schemas\\'- ':\\Windows\\security\\'- ':\\Windows\\ServiceState\\'- ':\\Windows\\servicing\\'- ':\\Windows\\Setup\\'- ':\\Windows\\ShellComponents\\'- ':\\Windows\\ShellExperiences\\'- ':\\Windows\\SKB\\'- ':\\Windows\\TAPI\\'- ':\\Windows\\Tasks\\'- ':\\Windows\\TextInput\\'- ':\\Windows\\tracing\\'- ':\\Windows\\Vss\\'- ':\\Windows\\WaaS\\'- ':\\Windows\\Web\\'- ':\\Windows\\wlansvc\\'- ':\\Windows\\System32\\Com\\dmp\\'- ':\\Windows\\System32\\FxsTmp\\'- ':\\Windows\\System32\\Microsoft\\Crypto\\
RSA\\MachineKeys\\'- ':\\Windows\\System32\\Speech\\'- ':\\Windows\\System32\\spool\\drivers\\
color\\'- ':\\Windows\\System32\\spool\\PRINTERS\\'- ':\\Windows\\System32\\spool\\SERVERS\\'- ':\\Windows\\System32\\Tasks_Migrated\\
Microsoft\\Windows\\PLA\\System\\'- ':\\Windows\\System32\\Tasks\\'- ':\\Windows\\SysWOW64\\Com\\dmp\\'- ':\\Windows\\SysWOW64\\FxsTmp\\'- ':\\Windows\\SysWOW64\\Tasks\\'
appdata:
Image|contains: '\\AppData\\'
User: 'SYSTEM'
condition: writable_path and not appdata
False positives:
20 APT40に関するアドバイザリー-中国MSSが実行している手法・技術

Allowlist auditing applications have been observed
running executables from these directories.
It is plausible that scripts and administrative tools usedin the monitored environment(s) may be located in oneof these directories and should be addressed on a caseby-case basis.
Level: highTitle: World Writable Execution - Users
ID: 6dda3843-182a-4214-9263-925a80b4c634
Description: Detect process execution from
C:\Users\Public\* and other world writable folders
within Users.
Background:
AppData folders are excluded if a file is run as SYSTEM- this is a benign way in which many temporary
application files are executed.
Investigation:
1.

Examine information directly associated with thisfile execution, such as the user context, execution
integrity level, immediate follow-on activity andimages loaded by the file.

2.

Investigate contextual process, network, file andother supporting data on the host to help make anassessment as to whether the activity is malicious.
If necessary attempt to collect a copy of the file forreverse engineering to determine whether it islegitimate.

3.

References:https://www.elastic.co/guide/en/security/cur
rent/ process-execution-from-an-unusualdirectory.html
Author: ASD’s ACSC
Date: 2024/06/19
Status: experimental
Tags:- tlp.green- classification.au.official- attack.execution
Log source:
category: process_creation
product: Windows
Detection:
users:
Image|contains:

- ':\\Users\\All Users\\'- ':\\Users\\Contacts\\'- ':\\Users\\Default\\'- ':\\Users\\Public\\'- ':\\Users\\Searches\\'
appdata:
Image|contains: '\\AppData\\'
User: 'SYSTEM'
condition: users and not appdata
False positives:- It is plausible that scripts and administrative tools
used in the monitored environment(s) may belocated in Public or a subdirectory and should be
addressed on a case-by-case basis.

ネットワークの分離
ネットワークの分離は、攻撃者による組織の機密データの検出及びアクセスをより困難にすることができる。ネットワークを分割し、要求がない限
りコンピュータ間のトラフィックを拒否すること
で、横展開を制限またはブロックすること。
Active Directoryや他の認証サーバといった重要なサーバは、限られた数のプロキシーサーバ又は「踏み台サーバ」からのみ管理されるようにするべきである。当該サーバは綿密に監視してセキュ
リティを強化し、接続できるユーザー及び機器を限定するべきである。

緩和措置

横展開が妨げられていることが特定された事例にかかわらず、追加のネットワークの分離によって、アクターがアクセスし抽出できたデータの量はさらに制限できたと考えられる。

ログ記録追加の緩和措置

ASD・ACSCの調査において、調査の取り組みの有効性と速度を低下させる共通の問題は、ウェブサーバ
のリクエストログ、Windowsのイベントログ、及び
インターネットのプロキシログを含む多数の領域における包括的な履歴ログ情報の欠如である。

署名組織は、APT40及びその他のアクターによる
以下のTTPの使用に対抗するための以下の緩和措置も推奨している。

Level: medium

ASD・ACSCでは、「Windowsイベントのログ記録
及び転送」（「Windowsイベントのログ記録リポジトリ」の設定ファイル及びスクリプトを含む）
及び情報セキュリティマニュアルの「システム監
視のためのガイドライン」に記載されているガイ
ダンスを確認の上実施し、集約的なログを取り入れ、ログを適切な期間保管することを推奨してい
る。

•

•

•

管理者権限を必要最小権限とし、サーバ、
ファイル共有及びその他のリソースへのア
クセスを制限する。

•

多要素認証（MFA）及びマネージドサービス
アカウントを使用し、認証情報の解読と再利用をより困難にする。以下を含めたインター
ネット上に公開された全てのリモートアクセ
スサービスにはMFAを適用するべきである。

パッチ管理
ウェブサーバ、ウェブアプリケーション及びリモ
ートアクセスゲートウェイを含む、インターネッ
ト接続された全ての機器及びサービスには、遅延なくパッチを適用すること。当該プロセスを自動化し、促進するために、集約化されたパッチ管理
システムの提供を検討すること。ASD・ACSCでは、
ISMのシステム管理のためのガイドライン（特に「システムのパッチ適用」の該当するコントロール）を必要に応じて実施することを推奨している。

使用されていない又は不要なネットワーク
サービス・ポート・プロトコルを無効にする。
十分に調整されたウェブアプリケーション
ファイアウォール（WAF）を使用してウェブサーバ及びアプリケーションを保護する。

•▫

ウェブ及びクラウドベースのEメール▫

コラボレーションプラットフォーム

▫

VPN接続

▫

リモートデスクトップサービス

サポート切れの機器を交換する。

アクターが使用した攻撃のほとんどは既知で、パッチ又は緩和措置が提供されていた。組織は、インターネットに接続している機器には、48時間以内に確実にセキュリティパッチや緩和措置を適用し、可能であれば、ソフトウェアやOSは
最新バージョンを使用する。
APT40に関するアドバイザリー-中国MSSが実行している手法・技術 21

表 1 緩和戦略／技術
TTP

8つの重要な緩和戦略

ISMコントロール
ISM-0140

Initial Access• アプリケーションにパッチをあてる

T1190• OSにパッチをあてる

Exploitation of Public-Facing
Application• 多要素認証• アプリケーションの管理

ISM-1698
ISM-1701
ISM-1921
ISM-1876
ISM-1877
ISM-1905
ISM-0140

Execution
T1059
Command and ScriptingInterpreter• アプリケーションの管理• Microsoft Officeのマクロを制限• 管理者権限を制限

ISM-1490
ISM-1622
ISM-1623
ISM-1657
ISM-1890
ISM-0140
ISM-1246
ISM-1746

Persistence
T1505.003• アプリケーションの管理

ISM-1249

Server Software Component:
Web Shell• 管理者権限を制限

ISM-1250
ISM-1490
ISM-1657
ISM-1871• OSにパッチをあてる

ISM-0140• 多要素認証

ISM-0859

T1078• 管理者権限を制限

ISM-1546

Valid Accounts• アプリケーションの管理

ISM-1504

Initial Access / Privilege
Escalation / Persistence• ユーザーアプリケーションの堅牢化

ISM-1679

一般的な検知及び緩和措置の推奨事項の詳細については、本アドバイザリーの後半のMITRE
ATT&CKの概要で示されている各技術を公開しているMITRE ATT&CKの技術ウェブサイトの緩和措置
及び検知セクションを参照すること。
免責事項
本報告書の情報は、情報提供のみを目的として「そのままの状態」で提供されている。署名組織
は、本資料に関連する全ての事業体、製品、又はサービスを含むいかなる商業事業体、製品、企業、サービスも支持していない。サービスマーク、商標、メーカー又はその他の方法による特定の商業事業体、製品、プロセス、又はサービスについての言及は、署名組織による支持、推奨、又は奨励を構成又は暗示するものではない。
本資料はTLP:CLEARである。開示は制限されない。情報の提供元は、情報が悪用されるリスクが最小限または予見できない場合に、適用される規則と公開手順に従ってTLP:CLEARを使用できる。標準の著作権規則に従い、TLP:CLEAR情報の配布は制限されない。トラフィックライトプロトコル（TLP）の詳細については、cisa.gov/tlpを参照すること。
22 APT40に関するアドバイザリー-中国MSSが実行している手法・技術

MITRE ATT&CK –着目すべきAPT40のトレー
ドクラフト
Reconnaissance（TA0043）
Search Victim-Owned Websites（T1594）

Gather Victim Identity Information: Credentials（T1589.001）

Active Scanning: Vulnerability Scanning（T1595.002）

Gather Victim Host Information（T1592）

Search Open Websites/Domains: Search Engines（T1593.002）

Gather Victim Network Information: Domain Properties（T1590.001）

Gather Victim Identity Information: Email Addresses（T1589.002）

Resource Development（TA0042）
Acquire Infrastructure: Domains（T1583.001）

Acquire Infrastructure（T1583）

Acquire Infrastructure: DNS Server（T1583.002）

Compromise Accounts（T1586）

Develop Capabilities: Code Signing Certificates（T1587.002）

Compromise Infrastructure（T1584）

Develop Capabilities: Digital Certificates（T1587.003）

Develop Capabilities: Malware（T1587.001）

Obtain Capabilities: Code Signing Certificates（T1588.003）

Establish Accounts: Cloud Accounts（T1585.003）

Compromise Infrastructure: Network Devices（T1584.008）

Obtain Capabilities: Digital Certificates（T1588.004）

Initial Access（TA0001）
Valid Accounts（T1078）

Phishing（T1566）

Valid Accounts: Default Accounts（T1078.001）

Phishing: Spearphishing Attachment（T1566.001）

Valid Accounts: Domain Accounts（T1078.002）

Phishing: Spearphishing Link（T1566.002）

External Remote Services（T1133）

Exploit Public-Facing Application（T1190）

Drive-by Compromise（T1189）

APT40に関するアドバイザリー-中国MSSが実行している手法・技術 23

Execution（TA0002）
Windows Management Instrumentation（T1047）

Command and Scripting Interpreter: Python（T1059.006）

Scheduled Task/Job: At（T1053.002）

Command and Scripting Interpreter: JavaScript（T1059.007）

Scheduled Task/Job: Scheduled Task（T1053.005）

Native API（T1106）

Command and Scripting Interpreter（T1059）

Inter-Process Communication（T1559）

Command and Scripting Interpreter: Windows Command Shell（T1059.003）

System Services: Service Execution（T1569.002）

Command and Scripting Interpreter: PowerShell（T1059.001）

Exploitation for Client Execution（T1203）

Command and Scripting Interpreter: Visual Basic（T1059.005）

User Execution: Malicious File（T1204.002）

Command and Scripting Interpreter: Unix Shell（T1059.004）

Command and Scripting Interpreter: Apple Script（T1059.002）

Scheduled Task/Job: Cron（T1053.003）

Software Deployment Tools（T1072）

Persistence（TA0003）
Valid Accounts（T1078）

Server Software Component: Web Shell（T1505.003）

Office Application Startup: Office Template Macros（T1137.001）

Create or Modify System Process: Windows Service（T1543.003）

Scheduled Task/Job: At（T1053.002）

Boot or Logon Autostart Execution: Registry Run Keys / Startup
Folder（T1547.001）

Scheduled Task/Job: Scheduled Task（T1053.005）

Boot or Logon Autostart Execution: Shortcut Modification（T1547.009）

External Remote Services（T1133）

Hijack Execution Flow: DLL Search Order Hijacking（T1574.001）

Scheduled Task/Job: Cron（T1053.003）

Hijack Execution Flow: DLL Side-Loading（T1574.002）

Account Manipulation（T1098）

Valid Accounts: Cloud Accounts（T1078.004）

Valid Accounts: Domain Accounts（T1078.002）

24 APT40に関するアドバイザリー-中国MSSが実行している手法・技術

Privilege Escalation（TA0004）
Scheduled Task/Job: At（T1053.002）

Create or Modify System Process: Windows Service（T1543.003）

Scheduled Task/Job: Scheduled Task（T1053.005）

Boot or Logon Autostart Execution: Registry Run Keys / Startup
Folder（T1547.001）

Process Injection: Thread Execution Hijacking（T1055.003）

Boot or Logon Autostart Execution: Shortcut Modification（T1547.009）

Process Injection: Process Hollowing（T1055.012）

Hijack Execution Flow: DLL Search Order Hijacking（T1574.001）

Valid Accounts: Domain Accounts（T1078.002）

Exploitation for Privilege Escalation（T1068）

Access Token Manipulation: Token Impersonation/Theft（T1134.001）

Event Triggered Execution: Unix Shell Configuration
Modification（T1546.004）

Process Injection: Dynamic-link Library Injection（T1055.001）

Valid Accounts: Domain Accounts（T1078.002）

Valid Accounts: Local Accounts（T1078.003）

Defence Evasion（TA0005）
Rootkit（T1014）

Indirect Command Execution（T1202）

Obfuscated Files or Information（T1027）

System Binary Proxy Execution: Mshta（T1218.005）

Obfuscated Files or Information: Software Packing（T1027.002）

System Binary Proxy Execution: Regsvr32（T1218.010）

Obfuscated Files or Information: Steganography（T1027.003）

Subvert Trust Controls: Code Signing（T1553.002）

Obfuscated Files or Information: Compile After Delivery（T1027.004）

File and Directory Permissions Modifications: Linux and
Mac File and Directory Permissions Modification（T1222.002）

Masquerading: Match Legitimate Name or Location（T1036.005）

Virtualisation/Sandbox Evasion: System Checks（T1497.001）

Process Injection: Thread Execution Hijacking（T1055.003）

Masquerading（T1036）

Reflective Code Loading（T1620）

Impair Defences: Disable or Modify System Firewall（T1562.004）

Process Injection: Process Hollowing（T1055.012）

Hide Artifacts: Hidden Files and Directories（T1564.001）

Indicator Removal: File Deletion（T1070.004）

Hide Artifacts: Hidden Window（T1564.003）

Indicator Removal: Timestomp（T1070.006）

Hijack Execution Flow: DLL Search Order Hijacking（T1574.001）

Indicator Removal: Clear Windows Event Logs
（T1070.001）

Hijack Execution Flow: DLL Side-Loading（T1574.002）

Modify Registry（T1112）

Web Service（T1102）

Deobfuscate/Decode Files or Information（T1140）

Masquerading: Masquerade Task or Service（T1036.004）

Impair Defenses（T1562）

APT40に関するアドバイザリー-中国MSSが実行している手法・技術 25

Credential Access（TA0006）
OS Credential Dumping: LSASS Memory（T1003.001）

Unsecured Credentials: Credentials in Files（T1552.001）

OS Credential Dumping: NTDS（T1003.003）

Brute Force: Password Guessing（T1110.001）

Network Sniffing（T1040）

Forced Authentication（T1187）

Credentials from Password Stores: Keychain（T1555.001）

Steal or Forge Kerberos Tickets: Kerberoasting（T1558.003）

Input Capture: Keylogging（T1056.001）

Multi-Factor Authentication Interception（T1111）

Steal Web Session Cookie（T1539）

Steal Application Access Token（T1528）

Exploitation for Credential Access（T1212）

Brute Force: Password Cracking（T1110.002）

Input Capture: Web Portal Capture（T1056.003）

OS Credential Dumping: DCSync（T1003.006）

Credentials from Password Stores（T1555）

Credentials from Password Stores: Credentials from Web
Browsers（T1555.003）

Discovery（TA0007）
System Service Discovery（T1007）

System Information Discovery（T1082）

Application Window Discovery（T1010）

Account Discovery: Local Account（T1087.001）

Query Registry（T1012）

System Information Discovery, Technique T1082 - Enterprise |MITRE ATT&CK®

File and Directory Discovery（T1083）

System Time Discovery（T1124）

Network Service Discovery（T1046）

System Owner/User Discovery（T1033）

Remote System Discovery（T1018）

Domain Trust Discovery（T1482）

Account Discovery: Email Account（T1087.003）

Account Discovery: Domain Account（T1087.002）

System Network Connections Discovery（T1049）

Virtualisation/Sandbox Evasion: System Checks（T1497.001）

Process Discovery（T1057）

Software Discovery（T1518）

Permission Groups Discovery: Domain Groups（T1069.002）

Network Share Discovery, Technique T1135 - Enterprise |MITRE ATT&CK®

System Network Configuration Discovery: Internet Connection
Discovery（T1016.001）

Lateral Movement（TA0008）
Remote Services: Remote Desktop Protocol（T1021.001）

Remote Services（T1021）

Remote Services: SMB/Windows Admin Shares（T1021.002）

Use Alternate Authentication Material: Pass the Ticket（T1550.003）

Remote Services: Windows Remote Management（T1021.006）

Lateral Tool Transfer（T1570）

26 APT40に関するアドバイザリー-中国MSSが実行している手法・技術

Collection（TA0009）
Data from Local System（T1005）

Archive Collected Data: Archive via Library（T1560.002）

Data from Network Shared Drive（T1039）

Email Collection: Remote Email Collection（T1114.002）

Input Capture: Keylogging（T1056.001）

Clipboard Data（T1115）

Automated Collection（T1119）

Data from Information Repositories（T1213）

Input Capture: Web Portal Capture（T1056.003）

Data Staged: Remote Data Staging（T1074.002）

Data Staged: Local Data Staging（T1074.001）

Archive Collected Data（T1560）

Email Collection（T1114）

Exfiltration（TA0010）
Exfiltration Over C2 Channel（T1041）

Exfiltration Over Alternative Protocol: Exfiltration Over
Asymmetric Encrypted Non-C2 Protocol（T1048.002）

Exfiltration Over Alternative Protocol（T1048）

Exfiltration Over Web Service: Exfiltration to Cloud
Storage（T1567.002）

Command and Control（TA0011）
Data Obfuscation: Protocol Impersonation（T1001.003）

Web Service: Dead Drop Resolver（T1102.001）

Commonly Used Port（T1043）

Web Service: One-way Communication（T1102.003）

Application Layer Protocol: Web Protocols（T1071.001）

Ingress Tool Transfer（T1105）

Application Layer Protocol: File Transfer Protocols（T1071.002）

Proxy: Internal Proxy（T1090.001）

Proxy: External Proxy（T1090.002）

Non-Standard Port（T1571）

Proxy: Multi-hop Proxy（T1090.003）

Protocol Tunnelling（T1572）

Web Service: Bidirectional Communication（T1102.002）

Encrypted Channel（T1573）

Encrypted Channel: Asymmetric Cryptography（T1573.002）

Ingress Tool Transfer（T1105）

Proxy, Technique T1090 - Enterprise | MITRE ATT&CK®

Impact（TA0040）
Service Stop（T1489）

Disk Wipe（T1561）

System Shutdown/Reboot（T1529）

Resource Hijacking（T1496）

APT40に関するアドバイザリー-中国MSSが実行している手法・技術 27

メモ

28 APT40に関するアドバイザリー-中国MSSが実行している手法・技術

お断り
本ガイドに含まれる資料は一般的性質のものであり、法律に基づく助言と見なされるべきではなく、又、特定の状況又は緊急時に依拠されるべきではない。重要事項については、独立した適切な専門家に個々の状況に関する助言を求めること。
コモンウェルスは、本ガイドに含まれる情報への依拠に起因する損害、損失、又は費用について、いかなる責任も負わない。
Copyright© Commonwealth of Australia 2023.
紋章及びただし書きされた場合を除いて、本発行物に含まれる全ての資料は、
CCライセンス・バージョン4.0（www.creativecommons.org/licenses）に基づいて提供される。
なお、これは、本ライセンスが本ドキュメントに含まれる資料のみに適用されることを意味する。

関連するライセンス条件の詳細は、CC BY 4.0ライセンスのリーガル・コ
ード全文と同様の内容のクリエイティブ・コモンズのウェブサイト
（www.creativecommons.org/licenses）にて確認すること。
紋章の使用
紋章の使用条件は、オーストラリアの首相・内閣府ウェブサイト（www.pmc.gov.au/government/commonwealthcoat-arms）の内容に従う。

詳細又はサイバーセキュリティインシデントの報告の連絡先：
cyber.gov.au | 1300 CYBER1 (1300 292 371)

APT40に関するアドバイザリー-中国MSSが実行している手法・技術 29