PLA新駭客

【Comment】

台灣的國防承包商，更要注意。

位於東南亞的三家大型電信公司，不知道是誰？新加坡、馬來西亞、印尼？

當然，駭客行動是由「位在中國的三台電腦發動」，有可能是殭屍電腦，不一定代表是PLA幹的。

但，從PLA的能力、駭客對軍事領域的興趣、以及「得透過人工智慧，查明並標記他們的活動，才能找到他們」表示，殭屍電腦這種小兒科根本不值一提了。

是PLA幹的，應該沒錯。

天上衛星地下 GIS 伺服器都不放過，中國網軍必要時可破壞全球衛星通訊    科技新報20180620

中美貿易大戰持續上演，而在網路攻勢上面，中國看來仍然持續不斷的試圖侵入關鍵基礎設施。資安公司賽門鐵克發佈報告，指出中國網軍除了情報需求，侵入國防承包商之外，還鎖定衛星系統，嚴重時將能擾亂全球通訊。

賽門鐵克報告指這批來自中國的攻擊者「Thrip」，呈現跟先前幾次攻擊不同的樣貌。先前許多中國來的入侵是基於情報動機，要竊取軍事、敏感科技情報。但是 Thrip 除了情報之外，還有鎖定衛星系統、衛星影像伺服器如 Google 地球伺服器、Garmin 影像軟體伺服器，必要時能夠破壞衛星通訊或是網路 GIS 伺服器運作。

賽門鐵克報告還說他們發現 Thrip 鎖定三家大型電信公司，全部位於東南亞。另外其他目標還有國防承包商。

賽門鐵克運用 AI 技術 Targeted Attack Analytics(TAA)，找到來自中國網軍的新型態攻擊。賽門鐵克總共追查有三部在中國境內的電腦，為 Thrip 攻擊的源頭。Thrip 是從 2013 年開始被賽門鐵克發現，中間停止活動一年，再次活動時增加新的入侵工具。Thrip 初期常用客制化模組，後來充份利用 Windows 既有的模組如 PowerShell、PsExec 躲避追蹤。

賽門鐵克已經將 Thrip 的情資通報美國國土安全部和聯邦調查局，另外也有通報給東南亞受影響國家的資安主管機關。

• China-based campaign breached satellite, defense companies: Symantec
• China-based espionage campaign targets satellite, defense companies

駭客基地設中國 入侵美國防、衛星公司    自由20180621

著名資訊安全公司「賽門鐵克（Symantec）」十九日宣布，資安研究員利用人工智慧技術「針對性攻擊分析（Targeted Attack Analytics，TAA）」成功追蹤到綽號「薊馬（Thrip）」的駭客團體「ATG14」，他們從三台位於中國的電腦發動精密的駭客行動，滲透位於美國和東南亞的國防承包商及衛星通訊、電信、地理空間製圖公司。

賽門鐵克指出，駭入用於控制衛星的電腦系統，可以變更衛星位置、攔截及干擾通訊，會對現實世界造成嚴重影響。賽門鐵克已將相關網路攻擊的技術資訊提供給美國國土安全部、聯邦調查局（ＦＢＩ）等機構。

賽門鐵克表示，駭客團體「薊馬」開始活躍於二○一三年，之後曾消失約一年，直到去年才重出江湖；他們在消失期間研發新的駭客工具，以利於規模更大的犯罪計畫。賽門鐵克的資安人員今年一月透過「針對性攻擊分析」的早期示警，成功監控到「薊馬」的駭客活動軌跡源自中國，他們採用「離地攻擊（living off the land）」技術，即利用作業系統功能或合法的網路管理工具來入侵目標網路系統，讓受害者難以察覺。

「薊馬」網攻 屬間諜行為

此前，美國網路安全公司「火眼（FireEye）」三月亦曾指出，被稱為「臨時潛望鏡（Temp.Periscope）」的駭客團體在去年夏季重出江湖，攻擊目標鎖定國防公司與託運公司；不過，「火眼」並未證實該團體是否就是「薊馬」。

賽門鐵克執行長克拉克（Greg Clark）表示，「薊馬」的行動「非常安靜、融入到網路世界，我們得透過人工智慧，查明並標記他們的活動，才能找到他們」，這類網路攻擊行動屬於間諜行為，他們並有能力變更衛星位置，攔截、干擾或竄改軍事與民間通訊，這類攔截能力很罕見，且難以得知具體遭竊的通訊內容，值得特別警覺。

賽門鐵克並未直接把「薊馬」的駭客行為歸咎於中國政府，聲稱駭客從位在中國的三台電腦發動入侵，但這些電腦可能由位處其他地區的人員操作。