APT3، المعروفة أيضًا بـ Gothic Panda، هي مجموعة تجسس سيبراني صينية مدعومة من الدولة نشطة منذ عام 2007 على الأقل. تستهدف المجموعة قطاعات حيوية مثل الفضاء والدفاع والاتصالات لجمع معلومات استخباراتية مكثّفة.
البطاقة التعريفية
- النوع: مجموعة تجسس سيبراني مدعومة من الدولة
- النشاط منذ: 2007 على الأقل
- بلد المنشأ: الصين (مرتبطة بوزارة أمن الدولة MSS في قوانغدونغ)
- القيادة والأعضاء: ضباط من MSS وأفراد متعاقدون؛ يُعتقد أنهم انتقلوا إلى وحدات صينية سيبرانية أخرى مثل APT10 و APT17؛ مرتبطة بشركة Boyusec الواجهة.
- القطاعات المستهدفة: الفضاء، الدفاع، الاتصالات، الهندسة
- الدافع: التجسس السيبراني، سرقة الملكية الفكرية، مخططات تكنولوجيا الدفاع، بيانات الاتصالات الحساسة؛ لدعم الأهداف الاستراتيجية للصين.
التكتيكات والتقنيات والإجراءات (TTPs)
التكتيكات (Tactics)
تركز APT3 بشكل أساسي على التجسس السيبراني، بهدف سرقة الملكية الفكرية، ومخططات تكنولوجيا الدفاع، وبيانات الاتصالات الحساسة. يعكس نهجهم المستهدف توافقهم مع الأهداف الاستراتيجية للصين.
التقنيات (Techniques)
اكتسبت APT3 الوصول الأولي باستخدام أساليب مثل التصيد الاحتيالي الموجه (Spear Phishing) وهجمات تجمّعات المياه (Watering-Hole Attacks). إنهم بارعون في استغلال ثغرات غير مُكتشفة سابقًا (Zero-Day Vulnerabilities)، بما في ذلك تلك الموجودة في Adobe Flash و Microsoft Office و Internet Explorer. غالبًا ما تتضمن حركتهم الجانبية (Lateral Movement) سرقة بيانات الاعتماد والاستفادة من أدوات إدارة Windows.
الإجراءات (Procedures)
تشمل الإجراءات الرئيسية لـ APT3 ما يلي: نشر برامج ضارة مُخصصة، مثل SHOTPUT (باب خلفي دائم)، و PIRPI (برنامج RAT يعتمد على الذاكرة)، و COOKIECUTTER. استخدام واجهات أوامر عبر الويب (Web Shells) مثل China Chopper. استغلال الأدوات والتقنيات المرتبطة بترسانة مجموعة Equation Group التابعة لوكالة الأمن القومي (NSA) قبل تسريباتها العامة.
أبرز الهجمات
- استغلال Shadow Brokers للأدوات (2016–2017): استخدمت APT3 استغلالات من مجموعة Equation Group التابعة لوكالة الأمن القومي، بما في ذلك DoublePulsar و EternalRomance، قبل الكشف عنها علنًا بواسطة Shadow Brokers.
- استغلال ثغرات جديدة (2014–2016): نفذت APT3 هجمات متعددة رفيعة المستوى باستخدام ثغرات جديدة في Adobe Flash و Internet Explorer، مما أدى إلى اختراق العديد من المنظمات في قطاعي الدفاع والاتصالات.
الإجراءات القانونية
بعد الكشف عن Boyusec في عام 2017، أدت العقوبات الأمريكية إلى تفكيك المنظمة بشكل فعال، مما أدى إلى انخفاض في النشاط العام لـ APT3. منذ ذلك الحين، ارتبطت البنية التحتية والموظفون للمجموعة بكيانات أخرى تابعة لوزارة أمن الدولة الصينية (MSS).
كيف تدافع
- إدارة التصحيحات (Patch Management): تحديث الأنظمة القديمة بانتظام، خاصة تلك التي تستخدم Flash أو IE أو Office.
- استخدام EDR والبحث عن التهديدات (Threat Hunting): الاستثمار في الكشف عن نقاط النهاية (EDR) لاكتشاف الشذوذات مثل الوصول إلى LSASS ونشاط واجهة أوامر الويب (Web Shell).
- تقسيم الشبكة (Network Segmentation): منع الحركة الجانبية (Lateral Movement) عن طريق عزل الأنظمة الحيوية.
- المصادقة متعددة العوامل (MFA): التأمين ضد سرقة بيانات الاعتماد.