北朝鮮のKonniハッカーがAI搭載マルウェアでブロックチェーンエンジニアを狙う

北朝鮮のハッキンググループKonniは、人工知能生成マルウェアを使用してブロックチェーンエンジニアを狙っている。報告によると、このハッカーグループは現在、AI生成PowerShellマルウェアを展開し、ブロックチェーン業界の開発者やエンジニアを標的としている。

北朝鮮のハッカーグループは少なくとも2014年から活動していると見られており、APT37およびKimuskyの活動クラスターと関連がある。グループは、韓国、ウクライナ、ロシア、およびその他の欧州諸国にまたがる組織を標的としてきた。CheckPointの研究者が分析した脅威サンプルによると、北朝鮮グループの最新キャンペーンはアジア太平洋地域を対象としている。

北朝鮮のKonniグループがAI生成マルウェアを展開

報告書において、研究者は、マルウェアが日本、インド、オーストラリアで見つかったユーザーによって提出されたと主張した。攻撃は、PDFのルアーと悪意のあるLNKショートカットファイルを含むZIPアーカイブを配信するDiscordリンクを被害者が受信することから始まる。LNKは埋め込まれたPowerShellローダーを実行し、DOCXドキュメントと、PowerShellバックドア、2つのバッチファイル、UACバイパス実行ファイルを含むCABアーカイブを抽出する。

ショートカットファイルが起動されると、DOCXが開き、キャビネットファイルに含まれるバッチファイルが実行される。ルアーとなるDOCXドキュメントは、ハッカーが開発環境を乗っ取ろうとしていることを示しており、インフラ、API認証情報、ウォレットアクセス、そして最終的にデジタル資産の保有権など、機密資産へのアクセスを得る可能性がある。最初のバッチファイルはバックドア用のステージングディレクトリを作成し、2番目のバッチファイルは...

さらに、OneDriveの起動タスクを模倣した時間単位で実行されるスケジュールタスクも作成される。このタスクはディスクからXOR暗号化されたPowerShellスクリプトを読み取り、メモリ内で実行するために復号化する。これらのすべてのステップが完了すると、感染の痕跡を消去するために自身を削除する。PowerShellバックドアは、算術ベースの文字列エンコーディング、ランタイム文字列の再構築、および「Invoked-Expression」を使用した最終ロジックの実行によって、その起源を強く隠蔽している。

研究者によると、PowerShellマルウェアは、従来型のマルウェアではなく、AI支援による開発の存在を示している。この証拠としては、スクリプトの上部にある明確で構造化されたドキュメントが挙げられるが、これはマルウェア開発では非常に珍しい。さらに、クリーンでモジュール化されたレイアウトを持ち、ファイル内に「# <– your permanent project UUID」というコメントが含まれている。CheckPointは、この表現が北朝鮮のハッカーによるLLM生成コードの特徴を示していると指摘した。

CheckPoint研究者がマルウェアの詳細を公開

研究者は、この表現がモデルが人間のユーザーにプレースホルダー値をカスタマイズする方法を指示していることも示していると説明した。彼らは、このようなコメントはAI生成スクリプトやチュートリアルで一般的に見られると述べた。実行前に、マルウェアはハードウェア、ソフトウェア、およびユーザーアクティビティのチェックを行い、解析環境で実行されていないことを確認する。それが確認されると、一意のホストIDを生成する。その後、指定されたアクションパスに従う。

バックドアが完全にアクティブになり、感染したデバイスで実行されると、マルウェアはホストメタデータを送信するためにコマンド・アンド・コントロール（C2）サーバーに定期的に連絡し、ランダムな間隔でサーバーをポーリングする。C2にPowerShellコードが含まれている場合、それはスクリプトブロックに変換され、バックグラウンドジョブを使用してその活動を実行する。CheckPointは、これらの攻撃が以前のローダー形式やルアー名に基づき、北朝鮮のKonni脅威アクターに起因する可能性があると指摘した。

さらに研究者は、同じスクリプト名の重複に加え、以前の攻撃と実行チェーン構造に他の共通要素があると主張した。研究者は、北朝鮮のKonniキャンペーンによって攻撃されたことを防御者が認識し、資産を保護できるよう、この最近のキャンペーンに関連する侵害指標（IOC）も公開した。