ラザルスグループ、求人情報詐欺で新しいステルスマルウェアを展開

最近の動向として、 notorious な北朝鮮のハッキング集団であるラザルスグループが、欺瞞的な雇用詐欺において非常に洗練された形式のマルウェアを使用していることが判明しました。セキュリティ研究者は、この新しいマルウェアがその前身と比較して検出がはるかに困難であると警告しています。セキュリティ企業ESETのシニアマルウェアリサーチャーであるPeter Kálnai氏は、9月29日の投稿でこれらの発見を明らかにしました。この発見は、スペインの航空宇宙企業を対象とした偽の求人情報攻撃を分析する過程で行われました。

ESET研究者がラザルスグループのマルウェアを解明

ESETの研究者たちは、調査中にLightlessCanという以前文書化されていなかったバックドアを発見しました。ラザルスグループは、サイバースパイ活動の一環として偽の求人情報詐欺を採用する歴史を持っています。通常、これらの詐欺は、有名な企業での雇用を約束して被害者を誘い込むものです。一度惹きつけられると、被害者は文書として偽装された悪意のあるペイロードのダウンロードを強要され、さまざまな形態のサイバー被害につながります。しかし、Kálnai氏は、新しいLightlessCanペイロードがその前身であるBlindingCanに対して「大幅な進歩」を表していると指摘しています。

LightlessCanを際立たせているのは、ネイティブなWindowsコマンドを模倣する能力であり、これにより、通常は疑念を招くノイズの多いコンソール実行を避け、Remote Access Trojan（RAT）自体内で discreet に実行することができます。このステルス性の高いアプローチは、エンドポイント検出および応答（EDR）システムや事後のデジタルフォレンジックツールのようなリアルタイム監視ソリューションを回避する点で大きな優位性をもたらします。さらに、新しいマルウェアは、Kálnaiが「実行ガードレール」と呼ぶものを使用しています。

これらのガードレールは、ペイロードが意図された被害者のマシンでのみ復号化されることを保証し、セキュリティ研究者やその他の無許可の当事者による意図しない復号化を防ぎます。新しいマルウェアの展開の例は、スペインの航空宇宙企業に対する攻撃で観察されました。この場合、2022年にSteve Dawsonという架空のMetaレコーダーからのメッセージを受信しました。その後、ハッカーはLightlessCanマルウェアが埋め込まれていた実際には2つの無害なコーディングチャレンジを送信しました。

北朝鮮のハッカーとグローバルセキュリティの懸念

Peter Kálnai氏はまた、サイバースパイ活動がラザルスグループが航空宇宙企業を標的にした主な動機であったと強調しています。この発見は、よく文書化されたサイバー攻撃と犯罪活動の歴史を持つハッキングエンティティであるラザルスグループの進化する戦術と能力を浮き彫りにします。過去数年間で、このグループは、2022年9月14日にブロックチェーンフォレンジック企業Chainalysisによって発表された報告書によると、暗号通貨プロジェクトから推定35億ドルを盗むことに成功しました。

サイバー攻撃の隠れみちとしての偽の求人情報詐欺の問題は新しいものではありません。2022年9月、サイバーセキュリティ企業SentinelOneは、潜在的な被害者にCrypto.comでの雇用を提供するLinkedIn上の偽の求人情報詐欺を警告しました。このキャンペーンは「Operation Dream Job」と呼ばれ、脅威actorが雇用への誘惑を悪意のある目的のために利用した別の事例でした。より広い文脈では、国連のような組織を率いる国際社会が、北朝鮮のサイバー犯罪活動を抑制するために取り組んできました。

北朝鮮がサイバー攻撃から盗んだ資金を核ミサイルプログラムに使用していることはよく知られており、これらの取り組みは世界的なセキュリティの懸念事項となっています。ラザルスグループが偽の求人情報詐欺でLightlessCanのような高度なマルウェアを使用することは、サイバー脅威の持続的かつ進化する性質を強調しています。この事例は、ラザルスグループのようなますます洗練された脅威actorに対処するため、堅牢なサイバーセキュリティ対策と heightened な警戒心の必要性を思い出させます。サイバー犯罪者が適応し新しい戦術を開発し続ける中で、組織や個人は潜在的な害から身を守るために先を見据える必要があります。