Власти США предъявили обвинения четырем участникам APT40

[INC.]

Четверо граждан Китая, которых подозревают в сотрудничестве с Министерством госбезопасности КНР, обвиняются в кибератаках на компании, университеты и государственные учреждения США, Германии, Канады, ЮАР, Великобритании, Австрии, Швейцарии, Саудовской Аравии и ряда других стран с 2011 по 2018 год, сообщает официальный сайт Министерства юстиции США.

"Большая часть украденных данных была связана с информацией, которая принесла значительную экономическую выгоду китайским компаниям и коммерческим секторам, в том числе информацию, которая позволила бы обойти длительные и трудоемкие процессы исследований и разработок", - отмечается в пресс-релизе минюста США.

Нападениям киберпреступников подверглись такие отрасли, как авиация, оборона, образование, государственное управление, здравоохранение, биофармацевтика и морское дело. В научно-исследовательских институтах и университетах кибератакам подверглись исследования таких инфекционных заболеваний, как Эбола, ВИЧ/СПИД, вирус Марбург и туляремия.

По данным Минюста, каждый из подсудимых обвиняется в сговоре с целью совершения компьютерного мошенничества, а также с целью совершения экономического шпионажа, что влечет за собой максимальное наказание до пяти и 15 лет тюремного заключения соответственно.

Высокопоставленный представитель администрации США заявил в понедельник, что США, НАТО и ЕС обвиняют власти Китая в сотрудничестве с наемными хакерами и обещают шаги в ответ на "безответственное" поведение Пекина.

• Source: justice[.]gov/opa/pr/four-chinese-nationals-working-ministry-state-security-charged-global-computer-intrusion

• Source: justice[.]gov/opa/press-release/file/1412916/download

• Source: justice[.]gov/opa/press-release/file/1412921/download

ZHU Yunmin 朱允敏 (STC Codes: 2612/0336/2404) Alias: Zhu Rong

WU Shurong 吴淑荣 (STC Codes: 0702/3219/2837) Aliases: goodperson, ha0r3n, Shi Lei

DING Xiaoyang 丁晓阳 (STC Codes: 0002/2556/7122) Aliases: Ding Hao, Manager Chen

CHENG Qingmin 程庆民 (STC Codes: 4453/1987/3046) Alias: Manager Cheng

 

[INC.]

Министерство юстиции США предъявило обвинения четырем гражданам Китая, заявив, что они причастны к взлому компаний, государственных учреждений и университетов по всему миру и действовали по приказу китайского правительства, а именно регионального подразделения Министерства государственной безопасности КНР.

Считается, что подозреваемые являются частью более крупной хак-группы и создали компанию под названием Hainan Xiandun Technology Development Co., Ltd. (海南 仙 盾), которую использовали в качестве прикрытия для своих атак. Стоит отметить, что ранее эта компания уже не раз фигурировала в отчетах ИБ-исследователей. В частности, в январе прошлого года анонимная группировка Intrusion Truth разоблачила 13 подставных компаний, через которые, по их словам, правительство вербует хакеров, и посвятила отдельный отчет APT40.

Представители Минюста утверждают, что власти Китая руководят хакерскими кампаниями этой группы с 2011 года, выбирая цели для взлома и последующего хищения служебной и конфиденциальной бизнес-информации, которую затем используют в Китае.

Считается, что компания Hainan Xiandun стоит за атаками, которые ранее приписывали разным хак-группам, известным под следующими названиями: ATP40, BRONZE, MOHAWK, FEVERDREAM, G0065, Gadolinium, GreenCrash, Hellsing, Kryptonite Panda, Leviathan, Mudcarp, Periscope, Temp.Periscope и Temp.Jumper.

Группа была наиболее активна в период с 2011 по 2018 год. За это время хакеры атаковали цели в Соединенных Штатах, Австрии, Камбодже, Канаде, Германии, Индонезии, Малайзии, Норвегии, Саудовской Аравии, Южной Африке, Швейцарии, Великобритании и США. Жертвами злоумышленников становились компании и предприятия, работающие в сферах авиации, обороны, образования, здравоохранения, биофармацевтики, морских перевозок и так далее.

Похищенные коммерческие секреты, а также конфиденциальная деловая информация, украденная у жертв, содержали данные о секретных технологиях, используемых для создания подводных аппаратов и автономных транспортных средств, химические формулы, патентованную технологию генетического секвенирования и многое другое. В Министерстве юстиции уверены, что эти данные зачастую использовались правительством Китая для обеспечения контрактов для государственных предприятий в разных странах мира, то есть помогали китайским компаниям предлагать более выгодные условия и получать преимущество перед конкурентами при заключении крупных контрактов.

Кроме того, APT40 участвовала в краже данных из различных исследовательских институтов и университетов. В основном информация касалась исследования инфекционных заболеваний, включая Эболу, MERS, ВИЧ/СПИД, вирус Марбург и туляремию.

Обвинения были предъявлены четырем гражданам Китая, трое из которых — это офицеры Министерства государственной безопасности КНР, работавшие в самой южной провинции Китая, Хайнань: Дин Сяоян (丁晓阳), Чэн Цинмин (程庆民) и Чжу Юньмин (朱允敏). Считается, что четвертый подозреваемый, Ву Шуронг (吴淑荣), был в Hainan Xiandun лишь наемным хакером и разрабатывал вредоносное ПО, которое затем использовал для взлома систем, принадлежащих иностранным правительствам, компаниям и университетам (по указанию своих начальников). Сообщается, что он действовал под никами goodperson и ha0r3n.

Для своих кампаний группа использовала как общедоступные, так и специально созданные вредоносные инструменты. В арсенал хакеров входила такая малварь, как BADFLICK (она же GreenCrash), PHOTO (она же Derusbi), MURKYTOP (она же mt.exe) и HOMEFRY (она же dp.dll).

Также известно, что группа часто использовала Tor для доступа к своей инфраструктуре, которая включала в себя серверы, домены, электронную почту, учетные записи GitHub и Dropbox. В частности, на GitHub хакеры хранили не только свою малварь, но и украденные данные, причем последние скрывали от любопытных глаз с помощью стеганографии, пряча информацию в картинках (которые порой изображали даже президента США Дональда Трампа, как видно на иллюстрации ниже).

Аккаунты Dropbox часто применялись в качестве места для «слива» украденных данных, так как большинство компаний не рассматривают трафик Dropbox как вредоносный.

По данным правительства США, APT40 тесно сотрудничает с различными университетами и использует свою подставную компанию Hainan Xiandun, чтобы нанимать хакеров и лингвистов из учебных заведений для помощи в будущих атаках. Сообщается, что порой подобное «партнерство» заходило так далеко, что «сотрудники одного известного университета в Хайнане помогали поддерживать и управлять Hainan Xiandun как подставной компанией, в том числе посредством платежных ведомостей, льгот и почтового адреса».

Министерство юстиции АНБ, CISA и ФБР уже выпустили техническое руководство по обнаружению вторжений и активности APT40.

• Source: https://intrusiontruth.wordpress.co...ainan-xiandun-technology-development-company/

• Source: https://www.nsa.gov/news-features/p...-chinese-state-sponsored-actions-mitigations/

 

[LockBitSupp]

Cheng самый умный походу