APT1

APT1 (ang. Advanced Persistent Threat 1), Comment Crew, jednostka ChALW 61398 (ang. PLA Unit 61398, chiń. upr. 61398部队, pinyin 61398 bùduì), znana też jako Comment Panda, GIF89a i Byzantine Candor – jedna z jednostek Chińskiej Armii Ludowo-Wyzwoleńczej zajmujących się prawdopodobnie włamaniami komputerowymi; jedna z najdłużej śledzonych i najbardziej aktywnych grup APT na świecie^[1][2][3][4]. Kryptonim Byzantine Candor nadały grupie amerykańskie agencje wywiadowcze, które śledziły jej działania od 2002 roku; nazwa Comment Crew pochodzi od techniki ukrywania poleceń w komentarzach kodu HTML legalnych stron internetowych^[5][6]. W katalogu technik i grup MITRE ATT&CK zespół figuruje pod oznaczeniem G0006^[7].

Istnienie APT1 zostało po raz pierwszy publicznie opisane na początku 2013 r.^[1], w raporcie firmy Mandiant (późniejsza część FireEye) zajmującej się bezpieczeństwem teleinformatycznym, oraz w reportażu The New York Times^[2]. Analitycy Mandiant gromadzili poszlaki wśród 141 powiązanych włamań komputerowych od 2004 r., charakteryzując i zawężając prawdopodobne położenie odpowiedzialnych grup do wąsko określonego sąsiedztwa w Szanghaju, w którym mieści się dwunastopiętrowy, strzeżony wieżowiec stanowiący w całości siedzibę jednostki wojskowej 61398. Jej oficjalne przeznaczenie jest tajne, jednak odkryto między innymi, że prowadziła ona m.in. rekrutację wśród absolwentów informatyki uniwersytetów Zhejiang i Jiaotong^{[1][8][9][10]}. Analitycy zewnętrzni podejrzewali, że jednostka zajmuje się włamaniami informatycznymi już co najmniej w 2011 r.^[2]

Według raportu jednostka 61398 działa w ramach 2. biura 3. departamentu Sztabu Generalnego ChALW, a jej siedziba – budynek przy Datong Road w dzielnicy Pudong o powierzchni ponad 12 tysięcy m², wznoszony od 2007 roku – mogła pomieścić około 2 tysięcy pracowników; w 2009 roku państwowy operator China Telecom doprowadził do niej dedykowaną sieć światłowodową, powołując się na potrzeby obronności^[1][2]. Mandiant udokumentował, że od 2006 roku grupa wykradła setki terabajtów danych z co najmniej 141 organizacji z 20 branż, przy czym 87% ofiar miało siedziby w krajach anglojęzycznych; napastnicy utrzymywali dostęp do sieci ofiar średnio przez 356 dni, a w skrajnym przypadku przez 4 lata i 10 miesięcy^[1]. Zidentyfikowana infrastruktura obejmowała 849 unikatowych adresów IP serwerów sterujących w 13 krajach (większość zarejestrowana w Chinach) oraz ponad 2,5 tysiąca nazw domenowych, a branże atakowanych organizacji pokrywały się z sektorami wskazanymi jako strategiczne w chińskim planie pięcioletnim na lata 2011–2015^[1]. Przekonanie o powiązaniu APT1 z jednostką 61398, w kontekście innych, podobnych oddziałów ChALW, wyrazili w późniejszym czasie także analitycy CrowdStrike^[11][12]. W 2014 r. odkryto publikacje naukowe z obszaru bezpieczeństwa komputerowego, otwarcie podpisane przez pracowników jednostki 61398 wraz z naukowcami z uniwersytetu Jiaotong^[10].

Celem działań APT1 wydaje się głównie kradzież własności intelektualnej z firm w branżach biznesowych, przemysłowych i technologicznych, m.in. inżynierii lotniczej i kosmicznej, telekomunikacji, informatyki, energetyki i opieki zdrowotnej^[2][11][13]. Wśród ofiar grupy wymieniano m.in. Lockheed Martina, RSA Security, DuPonta i operatora systemów przemysłowych Telvent, a łączną liczbę zaatakowanych organizacji firma FireEye szacowała w 2012 roku na ponad tysiąc^[5][6]. Grupie przypisano także wykradzenie w 2012 roku korespondencji przewodniczącego Komisji Europejskiej w trakcie negocjacji dotyczących kryzysu greckiego oraz udział w ujawnionej w 2011 roku kampanii szpiegowskiej Shady RAT, wymierzonej w ponad 70 organizacji, w tym ONZ i agencje rządowe kilku państw^[6][2]. Aktywność złośliwego oprogramowania grupy przypadała niemal wyłącznie na godziny pracy w pekińskiej strefie czasowej, co wskazywało na zawodowy, etatowy charakter zespołu^[14]. Grupę określono zarazem jako jedną z najbardziej zauważalnych, ponieważ wykonuje szczególnie liczne ataki, bez pełnej dbałości o maskowanie swoich śladów^[9].

19 maja 2014 r. Departament Sprawiedliwości USA ogłosił, że federalna ława przysięgłych postawiła pięciu oficerom jednostki 61398 – byli to Huang Zhenyu, Wen Xinyu, Sun Kailiang, Gu Chunhui i Wang Dong – zarzuty kradzieży poufnych informacji handlowych i własności intelektualnej amerykańskich przedsiębiorstw (m.in. z branż energetyki jądrowej, metalurgii i fotowoltaiki) oraz instalowania w ich sieciach złośliwego oprogramowania; było to pierwsze w historii USA oskarżenie wymierzone imiennie w funkcjonariuszy obcego państwa w związku z cyberszpiegostwem gospodarczym^[15][16].

Władze Chin konsekwentnie podważały wiarygodność tych ustaleń i zaprzeczały prowadzeniu takiej działalności; rzecznik chińskiego MSZ Hong Lei nazwał zarzuty z raportu Mandiant „nieprofesjonalnymi”, a ministerstwo obrony określiło je jako bezpodstawne^[17][13][18].

Raport Mandiant odbił się szerokim echem również w polskich mediach, które opisywały jednostkę 61398 jako „tajną komórkę chińskiej armii” stojącą za atakami na amerykańskie firmy i instytucje^[19][20]. Część komentatorów zwracała jednak uwagę na poszlakowy charakter przedstawionych dowodów – serwis Sekurak zauważał, że raport nie zawiera bezpośredniego potwierdzenia, iż za przeanalizowanymi atakami stoi właśnie jednostka 61398^[21].

• APT28
• APT29
• Lazarus Group
• GhostNet