中國駭客集團APT41曾入侵美國至少6州的政府網路

甫宣布被Google收購的資安業者Mandiant於本周揭露，從去年5月起，該公司就觀察到由中國政府支持的駭客集團APT41正鎖定美國各州政府的電腦網路展開攻擊，直至今年2月止，至少成功入侵了美國6個州政府網路。

APT41大約自2012年就開始活躍於全球網路，FireEye（現在的Mandiant）在2019年指出APT41是個由中國共產黨贊助的駭客集團，美國司法部則在2020年起訴5名APT41成員，指控他們對包括臺灣及美國在內的各國政府與民間組織發動攻擊，且除了間諜行動之外，APT41偶爾也會攻擊其它目標以中飽私囊。

Mandiant的調查顯示，APT41主要開採州政府網路應用程式的安全漏洞，特別是那些以ASP.NET撰寫的應用，多半採用.NET反序列化攻擊，但有時也會開採SQL Injection及目錄穿越（Directory Traversal）漏洞。此外，成立超過10年的APT41依舊非常靈活，總能快速地利用新興的安全漏洞展開攻擊，例如USAHerds零時差漏洞CVE-2021-44207，或者是最近最熱門的Log4j漏洞CVE-2021-44228。

USAHerds是個以ASP.NET撰寫的現成商用軟體，美國有18個州使用了USAHerds來進行動物健康管理，其CVE-2021-44207漏洞存在於其預值使用靜態的靜態驗證金鑰及解密金鑰（統稱為機器金鑰），因此，只要取得了一套軟體的機器金鑰，就能入侵任何其它使用USAHerds的系統。

APT41在去年6月就開採了CVE-2021-44207，當時它還是個尚未修補的零時差漏洞，USAHerds開發者Acclaim Systems一直到去年11月才釋出修補程式。

到了去年12月10日，當Log4j漏洞CVE-2021-44228及相關的概念性驗證程式被公布的幾個小時內，APT41便發動了攻擊，目標包括美國兩個州政府，以及許多APT41原本即鎖定的保險及金融產業組織。

Mandiant說，過去APT41的攻擊手法都是大規模地掃描及開採安全漏洞，但2021年5月到今年2月間，APT41則特別鎖定美國州政府的電腦網路，而且會重覆攻擊同一個州政府。目前尚不確定APT41的目的，僅知該集團盜走了個人身分資訊。

Mandiant也公布了APT41相關攻擊行動的網路入侵指標（IOC）供外界參考。