Sophos（ソフォス）は6月27日、「クリムゾンパレス作戦（Operation Crimson Palace）：脅威ハンティングによって明らかになった、中国が支援するサイバー脅威グループによる東南アジアを標的とした複数のスパイ活動」と題するレポートを公開した。このレポートでは、東南アジア諸国の政府高官を標的として約2年間にわたって実行されている非常に高度なスパイ活動の全容を紹介している。その概要は以下のとおり。
ソフォスの脅威対応共同タスクフォースであるSophos X-Opsは2023年にこの調査を開始。同社のMDR（Managed Detection and Response）チームは、同じ組織を標的とした3つの異なるスパイ活動を発見したが、これらの2つの活動では、中国が支援している脅威グループ（BackdoorDiplomacy、APT15、そしてAPT41の下部組織であるEarth Longzhi）がこれまでに使用していた同じ戦術、手法、手順（TTP）が確認された。
これらの脅威グループは、綿密な作戦を立て、多種多様なマルウェアやツールを利用し、政治、経済、軍事に関する機密情報だけでなく、特定の人物を偵察して情報を収集していた。ソフォスはこの一連の攻撃キャンペーンを「クリムゾンパレス」と命名。使用されていたマルウェアには、システムに常駐する機能がある過去に検出されていないマルウェアも含まれており、同社はこのマルウェアを「PocoProxy」と命名した。
Sophos X-Opsは、2022年12月に初めて標的となった組織のネットワークで悪意のある活動を特定し、中国の脅威グループMustang Pandaが過去に利用していたデータ流出ツールを検出。ソフォスのMDRチームは、この悪意のある活動についてさらに詳細な調査を実施した。
2023年5月、Sophos X-Opsの脅威ハンティングチームにより、脆弱なVMWareの実行ファイルが発見され、解析の結果、標的のネットワークに3つの異なる攻撃（クラスタブラボー、クラスタチャーリー、およびクラスタアルファ）が行われていたことが判明した。レポートではこれら3つの攻撃についても解説している。
関連リンク