APT10, المعروفة أيضًا بـ MenuPass و Red Apollo و Stone Panda، هي مجموعة تجسس سيبراني متطورة للغاية يُعتقد أنها مرتبطة بوزارة أمن الدولة الصينية (MSS). نشطة منذ عام 2009 على الأقل، تركز حملاتها على سرقة الملكية الفكرية والبيانات الحساسة، مما يجعلها إحدى أبرز مجموعات التجسس حتى الآن.
البطاقة التعريفية
- النوع: مجموعة تجسس سيبراني، مدعومة من دولة.
- النشاط منذ: 2009 على الأقل.
- بلد المنشأ: الصين.
- القيادة والأعضاء: تفاصيل العضوية المحددة غير معروفة علنًا. يُعتقد أن المجموعة توظف مزيجًا من المشغلين والمطورين المهرة، وتمولها على الأرجح مصالح الدولة الصينية. تستخدم المجموعة أسماء مستعارة متعددة منها MenuPass و Cicada و Cloud Hopper. لا يوجد قادة فرديون محددون، ولكن يُعتقد أنها تعمل كفريق متعاقد تحت إشراف مكتب أمن الدولة في تيانجين، وهو قسم من وزارة أمن الدولة الصينية (MSS).
- القطاعات المستهدفة: الصناعات العالمية، الوكالات الحكومية، متعاقدو الدفاع، شركات Fortune 500، شركات الرعاية الصحية والأدوية الأمريكية، الإدارات الحكومية اليابانية، شركات الدفاع والتكنولوجيا اليابانية.
- الدافع: سرقة الملكية الفكرية، الأسرار التجارية، البيانات الحكومية الحساسة، الأبحاث (التجسس السيبراني).
التكتيكات والتقنيات والإجراءات (TTPs)
التكتيكات (Tactics)
الدافع الأساسي لـ APT10 هو التجسس السيبراني، مستهدفين الملكية الفكرية والأسرار التجارية والبيانات الحكومية الحساسة. تركز استراتيجياتهم على التخفي والمثابرة، لضمان وصول مطول إلى بيئات الضحايا لسرقة البيانات على نطاق واسع.
التقنيات (Techniques)
تستخدم APT10 رسائل البريد الإلكتروني للتصيد المُوجّه (Spear-Phishing) مع مرفقات خبيثة كنقطة دخول شائعة إلى الشبكات. يقومون باختراق مزودي الخدمات المدارة (MSPs) للوصول بشكل غير مباشر إلى شبكات العملاء—وهو نهج استُخدم بشكل مكثف خلال حملة “Cloud Hopper”. تستغل المجموعة أيضًا الثغرات الأمنية في الشبكات الافتراضية الخاصة (VPNs) وأدوات الوصول عن بعد للحصول على وصول أولي أو ثانوي.
الإجراءات (Procedures)
تتضمن ترسانتهم من البرمجيات الخبيثة المخصصة أدوات مثل RedLeaves RAT و Quasar RAT و PlugX، بالإضافة إلى أدوات جمع بيانات الاعتماد مثل Mimikatz. يتم الحفاظ على الوصوال (Persistence) من خلال طرق مثل إنشاء حسابات إدارية (Admin Accounts)، والمهام المجدولة (Scheduled Tasks)، وتحميل DLL الجانبي (DLL Side-Loading). يقومون بتسريب البيانات باستخدام قنوات اتصال مُشفّرة.
أبرز الهجمات
- عملية Cloud Hopper (2014–2017): قامت APT10 باختراق مزودي الخدمات المدارة (MSPs) للوصول إلى شبكات عملائهم، مما أثر على الوكالات الحكومية ومتعاقدي الدفاع وشركات Fortune 500 في جميع أنحاء العالم.
- تجسس الرعاية الصحية والأدوية (2017–2018): نفذت APT10 حملات استهدفت شركات الرعاية الصحية والأدوية الأمريكية، بهدف سرقة الأبحاث والملكية الفكرية.
- الحكومة اليابانية ومتعاقدو الدفاع (2021–2022): كثفت APT10 تركيزها على اليابان، مُستهدفةً الإدارات الحكومية وشركات الدفاع والتكنولوجيا لاستخراج البيانات الحساسة.
الإجراءات القانونية
في ديسمبر 2018، وجّهت وزارة العدل الأمريكية اتهامات لاثنين من المواطنين الصينيين المرتبطين بـ APT10 لتورطهم في أنشطة اختراق واسعة النطاق. وقد نُسبت العملية علنًا إلى وزارة أمن الدولة الصينية (MSS)، مع بيانات مشتركة صدرت عن المملكة المتحدة واليابان وحلفاء آخرين.
كيف تدافع
- مراقبة الشذوذات مثل عمليات تسجيل الدخول غير المعتادة إلى RDP/VPN، والمهام المجدولة المشبوهة، والنشاط المرتبط ببرمجيات APT10 الخبيثة، وأنماط الوصول لسلسلة التوريد.
- تطبيق المصادقة متعددة العوامل (MFA) على جميع نقاط الوصول الخارجية.
- فرض مبدأ الامتياز الأقل (Least Privilege) لحسابات المستخدمين.
- تحديث أدوات الوصول عن بعد بانتظام.
- تطبيق تجزئة الشبكة (Network Segmentation).
- مراقبة النقاط الطرفيّة (Endpoint Monitoring).