แบ็กดอร์ ted ซ่อนตัวใน HAProxy ที่เหยื่อคอมไพล์เอง ดักและแก้หน้าเว็บกลางทาง — Rapid7 ชี้เกาหลีเหนือด้วยความมั่นใจปานกลาง แต่หลักฐานอ้างอิงชี้กลับไปที่โพสต์บน X ปี 2568

สรุปสั้น

ชุดเครื่องมือบน Linux ที่ไม่เคยมีการบันทึกไว้ก่อนถูกพบว่าถูกคอมไพล์ฝังลงในโหลดบาลานเซอร์ HAProxy ที่ถูกดัดแปลงขององค์กรเกาหลีใต้สองแห่งโดยตรง โดยทำหน้าที่ดักการรับส่งข้อมูลเว็บและส่งหน้าเว็บที่ถูกแก้ไขให้กับผู้เข้าชมบางรายที่ถูกคัดเลือกไว้ ผู้โจมตีตั้งชื่อตัวฝังนี้ว่า ted ตามสตริงดีบักที่หลงเหลืออยู่ในไบนารี จุดที่ต้องเน้นให้ชัดคือนี่ไม่ใช่ช่องโหว่ของ HAProxy การติดตั้งต้องอาศัยความสามารถรันโค้ดบนเครื่องเป้าหมายและสิทธิ์ในการแทนที่ไบนารีที่กำลังทำงานอยู่แล้ว กล่าวคือผู้โจมตีต้องเข้ามาได้ก่อน แล้วจึงใช้เครื่องมือชุดนี้เพื่ออยู่ต่ออย่างเงียบที่สุด

บริษัท Rapid7 Labs ระบุว่าประเมินด้วยความมั่นใจระดับปานกลางว่าชุดเครื่องมือนี้เชื่อมโยงกับผู้ก่อภัยคุกคามที่ได้รับการสนับสนุนจากรัฐบาลเกาหลีเหนือ และระบุว่าเหยื่อทั้งสองรายอยู่ในภาคยานยนต์และภาคสื่อของเกาหลีใต้ สิ่งที่ทำให้ตัวฝังนี้ตรวจจับได้ยากเป็นพิเศษคือคำร้องที่ใช้สั่งการและควบคุมไม่เคยถูกส่งต่อไปถึงเซิร์ฟเวอร์แบ็กเอนด์เลย และถูกลบออกจากตัวนับการเชื่อมต่อของ HAProxy เอง ผลคือทั้งบันทึกของแบ็กเอนด์และหน้าสถิติของโหลดบาลานเซอร์ไม่มีร่องรอยการติดต่อนั้นอยู่เลย

“จำเป็นต้องมีหลักฐานเพิ่มเติมเพื่อให้การประเมินมีความชัดเจนกว่านี้” Rapid7 ระบุ ซึ่งเป็นถ้อยคำที่ควรอ่านอย่างระมัดระวัง เพราะเมื่อไล่ตามแหล่งอ้างอิงที่รายงานใช้ประกอบการชี้ตัวผู้ก่อเหตุ จะพบว่าน้ำหนักส่วนหนึ่งวางอยู่บนรายการโดเมนในโครงการโอเพนซอร์สที่อ้างที่มาจากโพสต์บนแพลตฟอร์ม X เมื่อเดือนกรกฎาคม 2568 และโดเมนทั้งหกที่รายงานเผยแพร่ก็ไม่มีตัวใดที่ยังใช้งานได้แล้วในปัจจุบัน

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 4 กันยายน 2569 ว่ามีการค้นพบชุดเครื่องมือบน Linux ที่ไม่เคยถูกบันทึกไว้ก่อน ถูกคอมไพล์ฝังลงในโหลดบาลานเซอร์ HAProxy ที่ถูกดัดแปลงขององค์กรเกาหลีใต้สองแห่ง โดยรายงานต้นทางมาจากบริษัท Rapid7 ซึ่งเผยแพร่เมื่อวันศุกร์

Rapid7 ระบุว่าไม่มีหลักฐานเพียงพอที่จะสร้างลำดับเวลาของเหตุการณ์หรือระบุได้ว่าผู้โจมตีเข้าสู่ระบบครั้งแรกด้วยวิธีใด สมมติฐานที่บริษัทเสนอคือผู้โจมตีอาจเข้ามาทางพอร์ทัลกรุ๊ปแวร์ที่เปิดสู่ภายนอก ซึ่งเป็นซอฟต์แวร์ประเภทการทำงานร่วมกันในองค์กรที่แพร่หลายในเกาหลีใต้ สมมติฐานนี้อ้างอิงงานวิจัยของบริษัท ENKI ที่บันทึกกรณีกลุ่ม Kimsuky เจาะผู้ให้บริการกรุ๊ปแวร์รายหนึ่งผ่านช่องโหว่ในเมลเซิร์ฟเวอร์ กล่าวคือเป็นการเทียบเคียงกับกรณีอื่น ไม่ใช่หลักฐานจากเหตุการณ์นี้โดยตรง

ประเด็นที่ควรพิจารณาอย่างระมัดระวังที่สุดคือฐานของการชี้ตัวผู้ก่อเหตุ ส่วนหนึ่งวางอยู่บนการที่โดเมนทั้งหกถูกจัดอยู่ภายใต้ชื่อกลุ่ม APT37 ในโครงการตรวจจับโอเพนซอร์สชื่อ maltrail อย่างไรก็ตามไฟล์ maltrail ที่ Rapid7 ลิงก์ถึงหยุดทำงานไปแล้วหลังโครงการปรับโครงสร้างที่เก็บโค้ดเมื่อเดือนสิงหาคม ซึ่งย้ายข้อมูลร่องรอยแบบสถิตไปไว้ที่อื่น The Hacker News ยืนยันเมื่อวันที่ 4 กันยายนว่าโดเมนทั้งหกปรากฏอยู่ในตำแหน่งใหม่ครบทุกรายการ และถูกกำกับว่าเป็นโครงสร้างพื้นฐานของ APT37

แต่เมื่อไล่ต่อไปอีกชั้น ไฟล์ต้นทางของ APT37 ใน maltrail ให้เครดิตรายการเหล่านั้นกับโพสต์สองรายการบนแพลตฟอร์ม X เมื่อเดือนกรกฎาคม 2568 และไม่มีการอ้างอิงถึง Rapid7 เลย นอกจากนี้ยังมีโดเมนอีกหกรายการที่อยู่ในสองรายการเดียวกันของ maltrail แต่ไม่ปรากฏในรายการของ Rapid7 ได้แก่ primgs[.]lol, admin.primgs[.]lol, grip-cdns[.]space, show.grip-cdns[.]space, cleanos[.]online และ app.cleanos[.]online ซึ่ง Rapid7 ไม่ได้ระบุว่าเป็นโครงสร้างพื้นฐานชุดเดียวกันหรือไม่ ส่วนแท็กบน ThreatFox ที่ Rapid7 อ้างเป็นแหล่งที่สองสำหรับโดเมนชุดเดียวกันนั้นบันทึกการพบเห็นไว้ห้าครั้ง ทั้งหมดลงเวลาไว้วันที่ 2 กรกฎาคม 2568 และหนึ่งในสองโพสต์บน X ที่ maltrail อ้างถึงถูกเผยแพร่ก่อนหน้านั้นสามชั่วโมงในวันเดียวกัน

The Hacker News ยืนยันเมื่อวันที่ 4 กันยายนด้วยว่าไม่มีโดเมนใดในหกรายการที่ยังแปลงชื่อได้ ทั้งหมดตอบกลับเป็น NXDOMAIN ซึ่งหมายความว่าไม่มีชื่อนั้นอยู่จริง ทั้งในเรกคอร์ด A และ NS เมื่อสอบถามผ่าน Google Public DNS โดเมนชุดนี้จึงมีประโยชน์สำหรับการย้อนตรวจบันทึกเก่ามากกว่าการนำไปบล็อกการรับส่งข้อมูลที่กำลังเกิดขึ้น

อีกจุดที่ควรระบุคือย่อหน้าชี้ตัวผู้ก่อเหตุในรายงานดึงเอาคลัสเตอร์เกาหลีเหนือมาถึงสามกลุ่ม คือ APT37 สำหรับรายการโดเมน Lazarus สำหรับรูปแบบการส่งเพย์โหลด และ Kimsuky สำหรับสมมติฐานการเข้าถึงครั้งแรก ซึ่งบริษัท Mandiant เคยประเมินโครงสร้างไซเบอร์ของเกาหลีเหนือไว้เมื่อปี 2566 ว่ามีการใช้เครื่องมือร่วมกันและมีเป้าหมายทับซ้อนกันระหว่างคลัสเตอร์เหล่านั้น “เราเชื่อว่าสิ่งนี้จะทำให้การชี้ตัวผู้ก่อเหตุอย่างแม่นยำทำได้ยากขึ้น” Mandiant ระบุ

วิธีการโจมตี

กลไกสั่งการและควบคุมของตัวฝัง ted ถูกซ่อนไว้ในเส้นทางของภาพหนึ่งเส้นทางโดยเฉพาะ เมื่อมีคำร้องมายังเส้นทางนั้น ตัวกรองจะเข้าสู่โหมดสั่งการ จากนั้นตัวฝังจะลดค่าตัวนับการเชื่อมต่อที่ทำงานอยู่ของ HAProxy ลง ซึ่งมีผลให้การเชื่อมต่อนั้นหายไปจากสถิติของโหลดบาลานเซอร์ ตัวฝังเขียนเนื้อคำสั่งลงในไปป์แบบมีชื่อภายใต้ /tmp และการล้างช่องคำร้องหลังจากนั้นทำให้ไม่เหลืออะไรให้ส่งต่อ คำสั่งจึงจบลงที่ตัวโหลดบาลานเซอร์เอง

ผลลัพธ์ถูกส่งกลับผ่านซ็อกเก็ตดิบภายใต้ส่วนหัวมาตรฐาน HTTP/1.0 200 OK ซึ่งเป็นสาเหตุที่ทำให้การแลกเปลี่ยนข้อมูลนี้ดูเหมือนการรับส่งข้อมูลเว็บธรรมดา ผ่านช่องทางดังกล่าวผู้ควบคุมสามารถส่งสัญญาณติดต่อกลับ อัปโหลดและดาวน์โหลดไฟล์ รันคำสั่งเชลล์ และแทนที่การตั้งค่าของตัวฝังได้

ในฝั่งการแก้ไขหน้าเว็บ มีเพียงคำร้องที่ผ่านเงื่อนไขสี่ข้อเท่านั้นจึงจะได้รับหน้าที่ถูกดัดแปลง คำร้องต้องมีส่วนหัว User-Agent ต้องตรงกับกฎที่รูปแบบของ URL และ referer เข้ากันทั้งคู่ จากนั้นการส่งมอบขึ้นอยู่กับการที่ที่อยู่ของไคลเอนต์อยู่ในบัญชีขาว ซึ่งตรวจทั้งแบบตรงกันทุกตัวและตรวจซ้ำที่ระดับ /24 หรืออีกทางคือคีย์ของผู้ควบคุมในส่วนหัว Accept-Language ซึ่งข้ามการกรองตามที่อยู่ไปได้ทั้งหมด การคัดกรองหลายชั้นเช่นนี้ทำให้นักวิเคราะห์ที่เข้าไปดูหน้าเว็บเดียวกันด้วยเครื่องของตัวเองมีโอกาสสูงมากที่จะเห็นหน้าเว็บปกติ

ตัวฝังยังเขียนทับชนิดเนื้อหาและความยาวของข้อมูลขาออก บังคับสถานะของการตอบกลับให้เป็น 200 และลบส่วนหัว Accept-Ranges ทิ้ง เพื่อไม่ให้ไคลเอนต์ร้องขอข้อมูลเป็นช่วงไบต์แล้วสังเกตเห็นว่าขนาดไฟล์เปลี่ยนไป

ในส่วนของการติดตั้ง ตัวสเตเจอร์จะลงมือเฉพาะเมื่อพบว่ามี HAProxy หรือ cron ทำงานอยู่แล้ว และตรวจสอบว่าได้สิทธิ์ root ก่อนจึงจะวางอะไรลงไป จากนั้นเขียนทับไบนารี crond ของจริง แล้วตั้งเวลาสร้างไฟล์ของตัวแทนที่ให้ตรงกับของ /usr/bin/ssh ก่อนจะลบคำว่า tmp, wget, cron และ crond ออกจากประวัติคำสั่ง bash ของ root และจากบันทึกระบบอีกหกไฟล์ ซึ่งรวมถึง auth.log และ audit/audit.log

ชุดเครื่องมือเดียวกันยังมี sshd ที่ถูกดัดแปลงให้เข้ารหัสรหัสผ่านแบบข้อความธรรมดาที่ดักได้แล้วเขียนลงไฟล์ที่ตำแหน่งตายตัว และ Rapid7 พบโค้ดชุดเดียวกันนี้ในไบนารี agetty, atd และ polkitd ที่ถูกดัดแปลงด้วย นอกจากนี้ยังมีโทรจันเข้าถึงระยะไกลที่ Rapid7 เรียกว่า curlRAT ซึ่งส่งสัญญาณติดต่อกลับทุก 12 ชั่วโมงตามค่าเริ่มต้น และลดลงเหลือทุก 30 วินาทีเมื่อผู้ควบคุมตั้งค่าธง โดยจะยกเลิกการทำงานหากไม่พบไฟล์เครื่องหมายที่บ่งชี้ว่าเครื่องนั้นเป็นเครื่องเสมือน ทั้งนี้ curlRAT เป็นคนละตัวกับ CurlBack RAT ซึ่งเป็นมัลแวร์คนละตระกูลที่ถูกเชื่อมโยงกับกลุ่ม SideCopy ที่มีความเชื่อมโยงกับปากีสถาน

Rapid7 เปรียบเทียบรูปแบบการส่งเพย์โหลดนี้กับปฏิบัติการ Operation SyncHole ซึ่งผู้เข้าชมเว็บไซต์สื่อออนไลน์ของเกาหลีใต้ถูกคัดกรองด้วยสคริปต์ฝั่งเซิร์ฟเวอร์แล้วเปลี่ยนเส้นทาง โดยนักวิจัยของบริษัท Kaspersky คือนาย Sojun Ryu และนาย Vasily Berdnikov ประเมิน “ด้วยความมั่นใจระดับปานกลาง” ว่าหน้าที่ถูกเปลี่ยนเส้นทางไปอาจรันสคริปต์ที่มุ่งร้ายใส่ช่องโหว่ใน Cross EX ซึ่งเป็นโปรแกรมช่วยเบราว์เซอร์ของเกาหลีใต้ รายงาน SyncHole ของ Kaspersky ระบุเหยื่ออย่างน้อยหกรายในภาคซอฟต์แวร์ ไอที การเงิน การผลิตเซมิคอนดักเตอร์ และโทรคมนาคม

อีกร่องรอยหนึ่งที่รายงานฉบับเต็มระบุไว้และควรบันทึกไว้ให้ครบคือชื่อฟังก์ชันภายในตัวแบ็กดอร์ ted ที่ขึ้นต้นด้วย ngx_ ซึ่งเป็นรูปแบบการตั้งชื่อของ nginx ไม่ใช่ของ HAProxy Rapid7 ประเมินว่าน่าจะเป็นการนำโค้ดจากแบ็กดอร์ที่เคยเขียนไว้สำหรับ nginx มาใช้ซ้ำ และชี้ว่าเคยพบชื่อฟังก์ชันชุด ngx_ ในลักษณะเดียวกันมาก่อนในแคมเปญ Funnull ที่บริษัท XLab ของ QiAnXin บันทึกไว้ ซึ่งมีการลงทะเบียนตัวกรองของ nginx แบบกำหนดเองเพื่อดักการรับส่งข้อมูล HTTP และใช้การเข้ารหัสแบบ XOR อย่างง่ายกับไฟล์ตั้งค่าเช่นเดียวกับเคสนี้

ข้อสำคัญคือ Rapid7 ปิดประเด็นนี้ไว้เองว่า “นอกเหนือจากรูปแบบการตั้งชื่อที่คล้ายกันแล้ว ไม่มีความทับซ้อนในระดับโค้ดที่มีนัยสำคัญพอจะสนับสนุนการเชื่อมโยงที่หนักแน่นกว่านี้” กล่าวคือความคล้ายที่พบเป็นเพียงร่องรอยของการนำโค้ดมาใช้ซ้ำ ไม่ใช่หลักฐานว่าผู้อยู่เบื้องหลังทั้งสองแคมเปญเป็นกลุ่มเดียวกัน ซึ่งเป็นรูปแบบเดียวกับที่ปรากฏตลอดทั้งรายงาน คือมีจุดเชื่อมหลายจุดแต่ไม่มีจุดใดที่หนักพอจะฟันธง

การเปิดเผยครั้งนี้เกิดขึ้นในช่วงเดียวกับที่บริษัท AhnLab และ ENKI WhiteHat บันทึกแคมเปญแบบวางกับดักที่แหล่งน้ำในลักษณะคล้ายกันเมื่อเดือนกรกฎาคม ซึ่งผู้ปฏิบัติการที่ได้รับการสนับสนุนจากรัฐใช้เว็บไซต์เกาหลีที่ถูกเจาะเป็นฐานโจมตีไคลเอนต์ลงลายมือชื่อ AnySign4PC ซึ่งเป็นเหตุที่เราเคยรายงานไว้ในโพสต์ 2026/07/304

ผลกระทบ

เหยื่อที่ยืนยันได้ในรายงานนี้มีเพียงสององค์กรในเกาหลีใต้ คือภาคยานยนต์และภาคสื่อ แต่ความสำคัญของเคสนี้ไม่ได้อยู่ที่จำนวนเหยื่อ หากอยู่ที่ตำแหน่งที่ผู้โจมตีเลือกฝังตัว โหลดบาลานเซอร์เป็นจุดที่การรับส่งข้อมูลเว็บทั้งหมดวิ่งผ่าน เป็นเครื่องที่ทีมความปลอดภัยมักจัดว่าเป็นอุปกรณ์โครงสร้างพื้นฐานมากกว่าเครื่องปลายทางที่ต้องเฝ้าระวัง และเป็นเครื่องที่มักไม่มีเอเจนต์ตรวจจับติดตั้งอยู่ การฝังตัวที่นั่นจึงให้ทั้งมุมมองที่กว้างที่สุดและการมองเห็นจากฝ่ายป้องกันที่น้อยที่สุด

เหยื่อทั้งสองรายรัน HAProxy เวอร์ชัน 2.8.12 ซึ่งเผยแพร่เมื่อวันที่ 8 พฤศจิกายน 2567 ตามประวัติการปล่อยเวอร์ชันของ HAProxy เอง ตัวฝังอ่านโครงสร้างข้อมูลภายในของ HAProxy ที่ตำแหน่งออฟเซ็ตซึ่งตายตัวกับเวอร์ชันนั้น และ Rapid7 ไม่ได้ระบุว่าบิลด์อื่นในสาย 2.8 มีอยู่หรือไม่ ปัจจุบันเวอร์ชันล่าสุดของสายนั้นคือ 2.8.28 ซึ่งออกเมื่อวันที่ 27 สิงหาคม 2569 ห่างกัน 16 เวอร์ชันย่อย และระบบติดตามบั๊กของ HAProxy ระบุว่ามีบั๊กที่รู้แล้ว 529 รายการซึ่งกระทบเวอร์ชัน 2.8.12 และได้รับการแก้ไขไปแล้วในสายนี้ ในจำนวนนั้นเป็นระดับวิกฤต 1 รายการและระดับสำคัญ 16 รายการ

จุดที่ต้องเข้าใจให้ตรงกันคือการอัปเกรดไม่ได้ล้างเครื่องที่ตัวฝังนั่งอยู่แล้ว เพราะผู้โจมตีใช้วิธีแทนที่ไบนารี ไม่ใช่ใช้ช่องโหว่ในตัวมัน การอัปเกรดจึงเป็นการลดความเสี่ยงจากบั๊กที่ค้างอยู่ ไม่ใช่การกำจัดการบุกรุก

ในแง่การตรวจจับ Rapid7 แนะนำให้ใช้การเทียบเคียงข้อมูลเครือข่ายอย่างอิสระ การวิเคราะห์พฤติกรรมในหน่วยความจำ และการตรวจสอบความสมบูรณ์ของไบนารี อย่างไรก็ตามรายงานไม่ได้เผยแพร่กฎการตรวจจับสำหรับข้อสุดท้าย และ HAProxy ที่ถูกคอมไพล์ใหม่ก็รายงานสตริงเวอร์ชันเหมือนกับบิลด์ที่สะอาดทุกประการ องค์กรที่ต้องการตรวจจริงจึงต้องเทียบแฮชกับบิลด์ที่ตัวเองสร้างและเก็บไว้เอง ซึ่งเป็นสิ่งที่หลายองค์กรไม่ได้ทำไว้ตั้งแต่แรก

คำแนะนำ

องค์กรที่คอมไพล์ HAProxy เองหรือใช้บิลด์ที่ไม่ได้มาจากที่เก็บแพ็กเกจของระบบปฏิบัติการ ควรเทียบแฮชของไบนารีที่ทำงานอยู่กับแฮชของบิลด์ต้นฉบับที่เก็บไว้ และหากไม่เคยเก็บไว้ ให้เริ่มเก็บตั้งแต่บิลด์ถัดไปเป็นต้นไป

ตรวจสอบไบนารีระบบที่ปรากฏในรายงานว่าถูกดัดแปลงหรือไม่ ได้แก่ crond, sshd, agetty, atd และ polkitd โดยเทียบกับแพ็กเกจต้นฉบับ และอย่าใช้เวลาแก้ไขไฟล์หรือสตริงเวอร์ชันเป็นเกณฑ์ตัดสิน เพราะผู้โจมตีตั้งเวลาสร้างไฟล์ให้ตรงกับไฟล์อื่นในระบบและไบนารีที่คอมไพล์ใหม่รายงานเวอร์ชันเดิม

ย้อนตรวจบันทึกเก่าเพื่อหาการติดต่อกับหกโดเมนในตาราง IoC แทนการนำไปตั้งกฎบล็อก เนื่องจากโดเมนทั้งหมดไม่แปลงชื่อแล้ว การพบชื่อเหล่านี้ในบันทึกย้อนหลังจึงมีค่ามากกว่าการเฝ้ารอในปัจจุบัน

ระวังการพึ่งพาสถิติของ HAProxy เองในการตรวจหาความผิดปกติ เพราะตัวฝังลบการเชื่อมต่อของตนออกจากตัวนับ ควรใช้ข้อมูลจากอุปกรณ์เครือข่ายที่อยู่คนละชั้นมาเทียบเคียงแทน เช่น บันทึกการไหลของข้อมูลหรืออุปกรณ์ตรวจสอบที่อยู่หน้าโหลดบาลานเซอร์

ตรวจหาไฟล์ตามเส้นทางในตาราง IoC และตรวจหาไปป์แบบมีชื่อที่ไม่ทราบที่มาภายใต้ /tmp บนเครื่องที่ทำหน้าที่โหลดบาลานเซอร์ รวมถึงตรวจสอบว่าประวัติคำสั่งของ root และบันทึกระบบมีช่วงที่หายไปหรือถูกตัดคำบางคำออกหรือไม่

อัปเกรด HAProxy จากเวอร์ชัน 2.8.12 ไปเป็นเวอร์ชันล่าสุดของสายนั้น โดยเข้าใจว่านี่เป็นการปิดบั๊กที่ค้างอยู่ 529 รายการ ไม่ใช่การกำจัดการบุกรุก เครื่องที่พบร่องรอยการฝังตัวต้องถือว่าถูกยึดทั้งเครื่องและติดตั้งใหม่ พร้อมเปลี่ยนข้อมูลลับทั้งหมดที่เคยผ่านเครื่องนั้น โดยเฉพาะรหัสผ่านที่ผ่าน sshd ที่ถูกดัดแปลง

Indicators of Compromise (IoCs)

หมายเหตุ: โดเมนด้านล่างถูกทำ defang ไว้ตามต้นฉบับ และปัจจุบันไม่แปลงชื่อแล้วทั้งหมด (NXDOMAIN) เหมาะกับการย้อนตรวจบันทึกเก่ามากกว่าการตั้งกฎบล็อก

แหล่งอ้างอิง

• New Ted Backdoor Hides Inside Victims’ Own HAProxy Builds to Intercept Web Traffic — The Hacker News
• DPRK APTs’ ted Backdoor and curlRAT Target South Korean Media and Automotive Sectors — Rapid7
• Analysis of Kimsuky’s Attack on a South Korean Groupware Vendor Using a New Gomir Family Variant — ENKI
• Operation SyncHole: Watering Hole Attacks by Lazarus — Kaspersky Securelist
• Mapping North Korea’s Cyber Structure and Alignment in 2023 — Mandiant / Google Threat Intelligence