mirrorface
MirrorFace
国家背景活動中 2019-01-01〜
- 別名
- MirrorFace（警察庁）
- 関連する可能性のある名称
- Earth Kasha（MISP Galaxy）同一性は未確認
- 推定される背景
- 中国 · 中国の関与が疑われる 第三者分析・報道・当局
- 初出
- 2019-01-01
- 外部 ID
- ATT&CK G1054 · MISP e992d874-604b-4a09-9c6c-0319d5be652a
日本での活動
当サイトの事案と、リークサイトへの掲載日本の組織に関する記録はまだありません。
公的機関の情報
注意喚起、起訴・制裁・摘発- 2025-01-08警察庁・内閣サイバーセキュリティセンター: MirrorFaceによるサイバー攻撃について（注意喚起）
攻撃手法
当サイトの事案集計と ATT&CKcredential-access3 手法
- T1003.001LSASS Memory
- T1003.002Security Account Manager
- T1003.003NTDS
collection4 手法
- T1005Data from Local System
- T1074.002Remote Data Staging
- T1114.001Local Email Collection
- T1560.001Archive via Utility
discovery10 手法
- T1007System Service Discovery
- T1016System Network Configuration Discovery
- T1018Remote System Discovery
- T1033System Owner/User Discovery
- T1057Process Discovery
- T1082System Information Discovery
- T1083File and Directory Discovery
- T1087.002Domain Account
- T1482Domain Trust Discovery
- T1614.001System Language Discovery
lateral-movement2 手法
- T1021.001Remote Desktop Protocol
- T1021.002SMB/Windows Admin Shares
stealth6 手法
- T1027.013Encrypted/Encoded File
- T1036.008Masquerade File Type
- T1070.004File Deletion
- T1221Template Injection
- T1574.001DLL
- T1684.001Impersonation
execution4 手法
- T1047Windows Management Instrumentation
- T1059.003Windows Command Shell
- T1059.005Visual Basic
- T1204.002Malicious File
exfiltration1 手法
- T1048.002Exfiltration Over Asymmetric Encrypted Non-C2 Protocol
command-and-control2 手法
- T1071.002File Transfer Protocols
- T1090Proxy
initial-access3 手法
- T1190Exploit Public-Facing Application
- T1566.001Spearphishing Attachment
- T1566.002Spearphishing Link
defense-impairment5 手法
- T1553.002Code Signing
- T1556.002Password Filter DLL
- T1685Disable or Modify Tools
- T1685.005Clear Windows Event Logs
- T1686.003Windows Host Firewall
resource-development2 手法
- T1587.001Malware
- T1588.002Tool
reconnaissance1 手法
- T1591Gather Victim Org Information
使用ツール
名称を開くと一覧の解説へBITSAdmin、Cobalt Strike、DOWNIISSA、HiddenFace、LODEINFO、MirrorStealer、NOOPLDR、Net、Nltest、Ping、ROAMINGHOUSE、Tasklist、UPPERCUT、Wevtutil、ipconfig、nbtstat
インフラ
所在は無効化表記。リンクにしないリークサイトの所在は記録していません。
解説
2019年頃から現在に至るまで日本国内の組織、事業者、個人を対象にキャンペーンを続けているとされるサイバー攻撃グループ。別名 Earth Kasha。2025年1月8日、警察庁と内閣サイバーセキュリティセンターは、主に安全保障や先端技術に係る情報窃取を目的とした、中国の関与が疑われる組織的なサイバー攻撃と評価して注意喚起を出した。捜査は警察庁関東管区警察局サイバー特別捜査部と警視庁ほか道府県警察が行い、手口は別添資料「Windows Sandbox を悪用した手口及び痕跡・検知策」「VS Code を悪用した手口及び痕跡・検知策」として公表された。MITRE ATT&CK では G1054、MISP Galaxy でも Earth Kasha が別名として登録されている。手法と使用ツールは ATT&CK の記載を機械的に取り込んだもので、日本の事案との対応は個別に確認する。初出の「2019年頃」は注意喚起の記述によるもので、月日は確認できていない。
出典
- s1
- s2
- s3データセットMITRE ATT&CK G1054The MITRE Corporation · 取得 2026-10-12 · © 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.
更新 2026-10-12