apt40
APT40
国家背景不明
- 別名
- APT40（警察庁）、Leviathan（MITRE）
- 関連する可能性のある名称
- TEMP.Periscope（MISP Galaxy）、TEMP.Jumper（MISP Galaxy）、Leviathan（MISP Galaxy）、BRONZE MOHAWK（MISP Galaxy）、GADOLINIUM（MISP Galaxy）、KRYPTONITE PANDA（MISP Galaxy）、TA423（MISP Galaxy）、Red Ladon（MISP Galaxy）、ITG09（MISP Galaxy）、MUDCARP（MISP Galaxy）同一性は未確認
- 推定される背景
- 中国 · 中国政府を背景に持つとされる 第三者分析・報道・当局
- 外部 ID
- ATT&CK G0065 · MISP 5b4b6980-3bc7-11e8-84d6-879aaac37dd9
日本での活動
当サイトの事案と、リークサイトへの掲載日本の組織に関する記録はまだありません。
公的機関の情報
注意喚起、起訴・制裁・摘発- 2021-07-19警察庁: 中国政府を背景に持つAPT40といわれるサイバー攻撃グループによるサイバー攻撃等について（注意喚起）
攻撃手法
当サイトの事案集計と ATT&CKcredential-access2 手法
- T1003OS Credential Dumping
- T1003.001LSASS Memory
lateral-movement3 手法
- T1021.001Remote Desktop Protocol
- T1021.004SSH
- T1534Internal Spearphishing
stealth9 手法
- T1027.001Binary Padding
- T1027.003Steganography
- T1027.013Encrypted/Encoded File
- T1027.015Compression
- T1055.001Dynamic-link Library Injection
- T1078Valid Accounts
- T1140Deobfuscate/Decode Files or Information
- T1197BITS Jobs
- T1218.010Regsvr32
exfiltration2 手法
- T1041Exfiltration Over C2 Channel
- T1567.002Exfiltration to Cloud Storage
execution7 手法
- T1047Windows Management Instrumentation
- T1059.001PowerShell
- T1059.005Visual Basic
- T1203Exploitation for Client Execution
- T1204.001Malicious Link
- T1204.002Malicious File
- T1559.002Dynamic Data Exchange
collection3 手法
- T1074.001Local Data Staging
- T1074.002Remote Data Staging
- T1560Archive Collected Data
command-and-control4 手法
- T1090.003Multi-hop Proxy
- T1102.003One-Way Communication
- T1105Ingress Tool Transfer
- T1572Protocol Tunneling
persistence4 手法
- T1133External Remote Services
- T1505.003Web Shell
- T1547.001Registry Run Keys / Startup Folder
- T1547.009Shortcut Modification
initial-access4 手法
- T1189Drive-by Compromise
- T1190Exploit Public-Facing Application
- T1566.001Spearphishing Attachment
- T1566.002Spearphishing Link
privilege-escalation1 手法
- T1546.003Windows Management Instrumentation Event Subscription
defense-impairment1 手法
- T1553.002Code Signing
resource-development8 手法
- T1583.001Domains
- T1584.004Server
- T1584.008Network Devices
- T1585.001Social Media Accounts
- T1585.002Email Accounts
- T1586.001Social Media Accounts
- T1586.002Email Accounts
- T1587.004Exploits
reconnaissance2 手法
- T1589.001Credentials
- T1595.002Vulnerability Scanning
使用ツール
名称を開くと一覧の解説へBADFLICK、BITSAdmin、BLACKCOFFEE、China Chopper、Cobalt Strike、Derusbi、Empire、HOMEFRY、MURKYTOP、NanHaiShu、Net、Orz、PowerSploit、Tor、Windows Credential Editor、at、gh0st RAT
インフラ
所在は無効化表記。リンクにしないリークサイトの所在は記録していません。
解説
中国政府を背景に持つとされるサイバー攻撃グループ。2021年7月19日（現地時間）に英国と米国などが APT40 に関する声明を発表し、日本政府も同日に外務報道官談話を出して悪意あるサイバー活動を非難した。警察庁の注意喚起は、この一連の攻撃で日本企業も対象になっていたことを確認したとし、不審なメールや添付ファイルを開かない、OS やプログラムのパッチを速やかに適用するといった基本的な対策と、不審な動きを検知した際の所管省庁・セキュリティ関係機関・警察への連絡を求めている。参考として米 NSA・CISA・FBI の合同アドバイザリー「Chinese State-Sponsored Cyber Operations: Observed TTPs」（AA21-200A）が挙げられている。MITRE ATT&CK では Leviathan（G0065）の別名として扱われ、MISP Galaxy には TEMP.Periscope、BRONZE MOHAWK、KRYPTONITE PANDA などの別名が登録されている。手法と使用ツールは ATT&CK の記載を機械的に取り込んだもので、日本の事案との対応は個別に確認する。
出典
- s1
- s2
- s3データセットMITRE ATT&CK G0065The MITRE Corporation · 取得 2026-10-12 · © 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.
更新 2026-10-12