アメリカ司法省(DOJ)が2025年1月14日、中国政府の支援を受けたハッカー集団「Mustang Panda」や「Twill Typhoon」が4200台以上のコンピューターに仕込んだマルウェア「PlugX」の駆除が完了したことを発表しました。

plugx_affidavit.pdf
(PDFファイル)https://www.justice.gov/opa/media/1384136/dl

Office of Public Affairs | Justice Department and FBI Conduct International Operation to Delete Malware Used by China-Backed Hackers | United States Department of Justice
https://www.justice.gov/opa/pr/justice-department-and-fbi-conduct-international-operation-delete-malware-used-china-backed

US removes malware allegedly planted on computers by Chinese-backed hackers | Reuters
https://www.reuters.com/technology/cybersecurity/us-removes-malware-allegedly-planted-computers-by-chinese-backed-hackers-2025-01-14/

リモートアクセス型トロイの木馬である「PlugX」の歴史は古く、2008年頃から標的型攻撃に用いられていることが確認されています。ペンシルベニア州東部地区連邦地方裁判所に提出された裁判記録によると、中国政府はMustang PandaならびにTwill Typhoonに対し資金提供を行い、PlugXの中でもUSBドライブを介して感染を拡大する「ワーム機能」を加えたPlugXを開発させました。

2020年以降、ワーム機能追加版のPlugXの感染例が拡大。以下は2023年7月時点で感染が確認された国や地域を赤く表示した地図で、日本やアメリカ、イギリス、フランスなどで感染が確認されています。

しかし2023年9月にサイバーセキュリティ企業のSekoiaは、Mustang PandaならびにTwill TyphoonがPlugXを制御するために使用するコマンドとコントロールインフラストラクチャーや、感染したデバイスからPlugXを削除するコマンドを特定しました。その後、SekoiaはPlugXのコントロールインフラストラクチャーをフランスの法執行機関であるTribunal judiciaire de Parisに引き継ぎ、協力して感染したデバイスからの駆除を進めていました。

アメリカでは、2024年8月からDOJとFBIが協力して被害者のコンピューターからPlugXを削除する作業を開始。2025年1月3日にDOJは合計4258台のコンピューターならびにネットワークからPlugXが削除され、アメリカでのPlugX駆除作戦が完了したことを発表しています。

また、PlugXが削除されたコンピューターを持つユーザーには、FBIから操作を行ったことに関する通知がユーザーのインターネットサービスプロバイダーを通じて送信されるとのこと。

FBIサイバー部門のブライアン・ヴォンドラン副長官は「今回の作戦は、FBIが持つ全面的な法的権限と技術的専門知識を駆使して国家ぐるみのサイバー脅威に抵抗し、国民を保護するというFBIの取り組みを強調するものです」と語りました。

アメリカ司法省国家安全保障局のマシュー・オルセン司法次官補は「DOJは、加害者の逮捕と起訴に取り組む一方で、アメリカの被害者を危害から守るために、サイバー攻撃を積極的に阻止することに取り組んでいます。今回の作戦の成功にあたって、我々は悪意のあるサイバー活動に対抗するためのパートナーシップを構築しました。今回の作戦を主導したフランス政府と民間部門のパートナーを称賛します」と述べました。

なお、DOJによるとFBIは引き続きMustang PandaならびにTwill Typhoonによるコンピューター侵入活動の操作を続けているとのことです。FBIのウェイン・ジェイコブス特別捜査官は「FBIはPlugXに感染した数千台に上るアメリカ国内のコンピューターを特定し、PlugXの駆除に取り組みました。今回の作戦は、中国政府がアメリカ人をどこで攻撃しようとも、必ずその攻撃者を突き止めるというFBIの決意を示しています」と述べています。