北朝鮮：究極のサイバー攻撃？回避型マルウェアとブロックチェーンが狙い撃ちされる

非中央集権的かつ回避的なマルウェアツールを使用して、北朝鮮に関連する脅威行為者がサイバー活動を強化していることが、Cisco TalosとGoogle Threat Intelligence Groupの新たな調査結果によって明らかになりました。

これらのキャンペーンは、暗号通貨を盗み、ネットワークに侵入し、洗練された勧誘詐欺によってセキュリティ制御を回避することを目的としています。

回避のためのマルウェア技術の進化

Cisco Talosの研究者は、BeaverTailとOtterCookieという2つの補完的なマルウェア株を使用した、北朝鮮のグループFamous Chollimaによる進行中のキャンペーンを特定しました。

これらのプログラムは、伝統的にクレデンシャルの窃盗とデータの流出に使用されてきましたが、新しい機能を組み込み、より緊密に相互作用するように進化しています。

スリランカの組織が関与した最近のインシデントでは、攻撃者は求職者を騙して、技術的な評価を装った悪意のあるコードをインストールさせました。

組織自体は直接の標的ではありませんでしたが、Cisco Talosのアナリストは、OtterCookieにリンクされたキーロギングとスクリーンショットのキャプチャモジュールを観測しました。このモジュールは密かにキー入力を記録し、デスクトップ画像をキャプチャして、自動的にリモートコマンドサーバーに送信していました。

この観測は、北朝鮮と連携する脅威グループの継続的な進化と、疑うことを知らない標的を危険にさらすソーシャルエンジニアリング技術への注力を強調しています。

ブロックチェーンを指揮インフラとして利用

Google脅威インテリジェンスグループ（GTIG）は、北朝鮮と連携するアクター、UNC5342による活動を特定しました。このグループはEtherHidingと呼ばれる新しいマルウェアを使用していました。ブロックチェーンを使用することで、攻撃者は従来のサーバーに頼ることなく、マルウェアの動作をリモートで変更することができます。その結果、法の執行がより困難になります。

さらにGTIGは、UNC5342が以前パロアルトネットワークスによって特定されたContagious Interviewと呼ばれるソーシャルエンジニアリングキャンペーンでEtherHidingを適用したことを報告し、北朝鮮と連携する脅威アクターの持続性を示しました。

ターゲット：暗号分野の専門家

Googleの研究者によると、こうしたサイバー作戦は通常、暗号通貨やサイバーセキュリティ分野の専門家をターゲットにした詐欺的な求人広告から始まります。

被害者は偽の評価に参加するよう誘われ、その間に悪意のあるコードを含むファイルをダウンロードするよう求められます。

感染プロセスには、JadeSnow、BeaverTail、InvisibleFerretなど、複数のマルウェア ファミリーが関与していることがよくあります。これらのツールを組み合わせることで、攻撃者はシステムにアクセスし、認証情報を盗み、ランサムウェアを効率的に展開することができます。

シスコとグーグルは、北朝鮮に関連する継続的なサイバー脅威を組織が検知して対応するのを支援するため、侵害指標（IOC）を公表しました。研究者たちは、ブロックチェーンとモジュール型マルウェアの統合は、世界のサイバーセキュリティ防衛努力を複雑化し続けるだろうと警告しています。