أربعة مفاعلات ومفاوضات جارية
في 2010، كانت Westinghouse تبني أربعة مفاعلات AP1000 في الصين وتتفاوض على نقل جوانب من التقنية. وفق لائحة اتهام أمريكية أُعلنت في مايو 2014، سرق مهاجمون تصميمات تتعلق بمسارات الأنابيب ودعاماتها داخل المحطات. ثم امتد الجمع خلال 2010 و2011 إلى رسائل قيادات الشركة ومداولاتها الداخلية بشأن العمل مع الشركاء الصينيين. وضعت الوثيقة هذه السرقات في سياق التفاوض التجاري الجاري، وربطتها بما كان يدور بين الشركة وشركائها. اتهمت السلطات خمسة ضباط من الوحدة العسكرية الصينية Unit 61398؛ وهي الوحدة التي كانت Mandiant قد ربطتها في تقرير سابق بعمليات المجموعة المعروفة باسم APT1. ووردت أسماء الضحايا والأفعال المنسوبة إلى الضباط ضمن لائحة الاتهام.
رسالة تصل إلى المحققين أنفسهم
في 18 أبريل 2012، وصلت إلى موظفي Mandiant رسالة تنتحل اسم مدير شركتهم Kevin Mandia وتطلب مناقشة بيان صحفي. كان عنوان المرسل حسابًا في خدمة بريد مجانية، والرابط يقود إلى أرشيف يحمل اسم الاجتماع المزعوم. لم يضغط الموظفون الرابط، بحسب التقرير؛ ولو شُغّل الملف داخله لثبّت بابًا خلفيًا من عائلة WEBC2. تستخدم هذه العائلة صفحة ويب قناة للأوامر: يجلب البرنامج الصفحة ثم يقرأ تعليمات مخبأة في بنيتها. أدرج المحققون الحادثة مثالًا عمليًا على أسلوب المجموعة، التي تختار موضوعًا يخص المتلقي وتستعير هوية يعرفها، ثم تحوّل أول ملف مفتوح إلى اتصال مستمر بخادم خارجي.
مدة البقاء تُقاس بالسنوات
عندما نشرت Mandiant تقرير APT1 في فبراير 2013، جمعت سجلات اختراق 141 مؤسسة في 20 قطاعًا منذ 2006. وفي 91 حالة أمكن تقدير مدة الوصول فيها، بلغ المتوسط 356 يومًا؛ واستمرت أطول حالة مرصودة 1٬764 يومًا. لا تعني المدة تشغيلًا متصلًا كل يوم، بل قدرة على العودة وجمع مزيد من المواد. وفي ضحية واحدة، وثّق الفريق خروج 6.5 تيرابايت من البيانات المضغوطة خلال عشرة أشهر. شملت المواد المستهدفة مخططات وتصاميم واتفاقات وتسعيرًا ورسائل قيادات. بذلك أظهر التقرير عمليات تتكرر فيها العودة والتجميع والإرسال، وقدم مؤشرات تقنية منشورة كي يستطيع آخرون البحث عن الآثار نفسها داخل شبكاتهم.
من التقرير إلى لائحة الاتهام
بعد نحو خمسة عشر شهرًا، سمّت وزارة العدل شركات ومؤسسات أمريكية في لائحة الاتهام. إلى جانب Westinghouse، قالت إن SolarWorld فقدت في 2012 آلاف الملفات المتعلقة بالكلفة والتدفقات النقدية والإنتاج، أثناء نزاع تجاري بشأن الواردات الصينية. وفي قضية US Steel، وصفت رسائل تصيد في 2010 أعقبها جمع أسماء أجهزة وخوادم ثم محاولات استغلالها. اتصلت تفاصيل الأجهزة بالمواد التجارية المسروقة، بدل أن تبقى كل واحدة خبرًا منفصلًا. نقل إعلان التهم جزءًا من ملف APT1 إلى اتهام علني بأسماء أشخاص وضحايا وأفعال محددة، ووضع وقائع السرقة المنسوبة إليهم في سياق العمل التجاري للشركات المستهدفة، بعد تقرير تقني كشف حجم الوصول ومدته.