75 个台湾组织被RedJuliett 网络间谍活动打击

2023 年 11 月至 2024 年 4 月期间，一个可能与中国有联系的国家支持的威胁行为者与针对台湾政府、学术、技术和外交组织的网络间谍活动有关。

Recorded Future 的 Insikt Group 正在以 RedJuliett 的名义跟踪该活动，将其描述为运营中国福州的集群，以支持北京与东亚国家相关的情报收集目标。它也以 Flax Typhoon 和 Ethereal Panda 的名义被跟踪。

敌对集体针对的其他国家包括吉布提、香港、肯尼亚、老挝、马来西亚、菲律宾、卢旺达、韩国和美国。

总共观察到多达 24 个受害者组织与威胁行为者基础设施进行通信，包括台湾、老挝、肯尼亚和卢旺达的政府机构。据估计，它还针对至少75个台湾实体进行更广泛的侦察和后续开发。

该公司在今天发布的一份新报告中表示：“该组织针对面向互联网的设备，如防火墙、负载平衡器和企业虚拟专用网络VPN产品进行初始访问，并尝试对Web和SQL应用程序进行结构化查询语言SQL注入和目录遍历攻击。

正如CrowdStrike和Microsoft之前所记录的那样，众所周知，RedJuliett使用开源软件SoftEther将恶意流量从受害者网络中挖掘出来，并利用陆地生活（LotL）技术在雷达下飞行。据信，该组织至少从 2021 年年中开始活跃。

“此外，RedJuliett 使用 SoftEther 来管理运营基础设施，包括从虚拟专用服务器 VPS 提供商租用的威胁行为者控制的服务器和属于三所台湾大学的受损基础设施，”Recorded Future 指出。

成功的初始访问之后，将部署 China Chopper Web Shell 以保持持久性，以及其他开源 Web Shell，如 devilzShell、AntSword 和 Godzilla。一些实例还涉及利用称为 DirtyCow 的 Linux 权限升级漏洞 （CVE-2016-5195）。

“RedJuliett可能有兴趣收集有关台湾经济政策以及与其他国家的贸易和外交关系的情报，”它说。

“与许多其他中国威胁行为者一样，RedJuliett可能针对面向互联网的设备中的漏洞，因为这些设备的可见性和可用的安全解决方案有限，而针对它们已被证明是扩展初始访问的有效方法。

尊敬的读者： 感谢您花时间阅读我们提供的这篇文章。我们非常重视您的时间和精力，并深知信息对您的重要性。 我们希望了解您对这篇文章的看法和感受。我们真诚地想知道您是否认为这篇文章为您带来了有价值的资讯和启示，是否有助于您的个人或职业发展。 如果您认为这篇文章对您非常有价值，并且希望获得更多的相关资讯和服务，我们愿意为您提供进一步的定制化服务。请通过填写我们提供的在线表单，与我们联系并提供您的邮箱地址或其他联系方式。我们将定期向您发送相关资讯和更新，以帮助您更好地了解我们的服务和文章内容。                                扫描二维码，参与调查

原文始发于微信公众号（信息安全大事件）：75 个台湾组织被RedJuliett 网络间谍活动打击