- 北朝鮮のハッカーが米国のシェル企業2社を設立し、暗号通貨業界の採用担当者を装って開発者にマルウェアを含む「求人」ファイルを配信しました。
- FBIはBlocknovasのドメインを押収し、ラーザラス・グループに関連するこの手口は、米国財務省および国連の制裁に違反する最も深刻な継続的なサイバー脅威の一つであると述べています。
- Silent Pushは、これらの悪意あるファイルがウォレットのキーやパスワードを盗み、バックドアを開き、すでに複数の被害者を出していることを発見しました。当局者は、新たな偽名がすぐに出現する可能性があると警告しています。
米国の法廷提出書類とReutersに共有された研究によると、北朝鮮のサイバー作戦要員は米国で2つの有限責任会社（LLC）を静かに設立し、それらを使用して暗号通貨界隈で就職活動中のソフトウェアエンジニアに有害なコードを忍び込ませました。
サイバーセキュリティ企業のサイレントプッシュは、ニューメキシコ州のBlocknovas LLCとニューヨーク州のSoftglide LLCが、偽の名前とレンタルされた住所を使用して構築され、ハッカーが正規の雇用主のように見せかけて応募者にマルウェアを送信できるようにしたと述べています。第3の企業であるAngeloper Agencyは、同一の悪意のあるウェブフィンガープリントを持っていましたが、米国の企業登録簿には登場していませんでした。
「これは、北朝鮮のハッカーが実際に米国で法的な企業体を設立し、無防備な求職者を攻撃するために企業の前哨基地を作成するという、めったに見られない事例です」と、サイレントプッシュの脅威インテリジェンス担当ディレクターであるケイシー・ベストはReutersに語りました。
米連邦捜査局（FBI）は両社について直接コメントを控えました。しかし木曜日、FBIはBlocknovasのウェブサイト上に差押通知を投稿し、そのドメインが「北朝鮮のサイバーアクターによる法執行活動の一環として、偽の求人広告で個人を欺き、マルウェアを配布するために使用されたため」差し押さえられたと述べました。
ドメインの差し押さえ以前、FBIの高官は、同局が「DPRKのアクター自身だけでなく、これらのスキームを実行する能力を支援するすべての人々に対しても、リスクと結果を課すことを目的としている」と機関に語りました。
ある当局者は、北朝鮮のハッキング部隊を「今日米国が直面している最も高度な持続的脅威の一つ」と呼んでいます。
サイレントプッシュは、攻撃者はリクルーターを装い、ターゲットに悪意のあるファイルを開くことを要求する面接を提供したと述べています。
BlocknovasとSoftglideは求人広告を使用して、暗号通貨開発者にマルウェアを忍び込ませました
起動後、これらのファイルは暗号通貨ウォレットの鍵、パスワード、および後で取引所やテクノロジー企業への侵入に役立つ可能性のある他の資格情報を収集しようとしました。
同社の未公開レポートは、「複数の被害者」を確認しており、そのほとんどがBlocknovasを通じて接触されました。研究者らは、Blocknovasを「3つの前哨基地の中で断トツで最も活発な」と描述しています。
州の記録によると、Blocknovasは2023年9月27日にニューメキシコ州で登録されました。その書類には、Googleマップで空き地と表示されているサウスカロライナ州ウォーレンビルにある郵便住所が記載されています。
Softglideのニューヨーク州での設立は、バッファローにある小さな税務準備事務所に遡ります。どちらの申請書に記載されている人物の痕跡は見つかりませんでした。
米国の当局者は、このパターンが北朝鮮の硬貨獲得に向けたより広範な動きに適合すると述べています。ワシントン、ソウル、国連の専門家は長年、平壌が暗号通貨を盗み、国の核ミサイルプログラムに資金を提供するために数千人の情報技術労働者を海外に派遣していると非難してきました。
米国内で北朝鮮が支配する会社を運営することは、財務省の外国資産管理庁（OFAC）が課した制裁に違反します。また、北朝鮮の国家または軍事に利益をもたらす商業活動を禁止する国連安全保障理事会の措置にも違反します。
マルウェアが含まれた求人ファイルはラザルスグループに関連付けられています
ニューメキシコ州の州務長官は、電子メールで、Blocknovasは登録エージェントを使用してオンラインの国内LLCシステムを通じて申請され、州の規則を満たしているように見えたと言いました。「当局が北朝鮮との関連を知る方法はありませんでした」と代表者は書き添えました。
調査官たちは、この活動が、平壌の主要な外国情報機関である偵察総局に属するエリートハッキングチームであるラザルスグループのサブグループに関連付けられていると指摘しています。
サイレントプッシュは、悪意のある求人ファイル内に少なくとも3つの以前から知られていたマルウェアファミリーを特定しました。これらのツールは、感染したマシンからデータを抽出し、さらなる侵入のためのバックドアを開き、追加の攻撃コードをダウンロードできます。これは、過去のラザルスの活動でよく見られるプレイブックです。
現在、Blocknovasのドメインは連邦政府によって差し押さえられており、Softglideのウェブサイトはオフライン、Angeloper Agencyのページはエラーを返しています。しかし、調査官たちは、新しいエイリアスが急速に現れる可能性があると警告しています。
「この作戦は、DPRKサイバーアクターが引き起こす継続的に進化する脅威を示しています」とFBIは声明で述べ、テクノロジー専門家に対して unsolicited な求人を精査し、不審な接触を報告するよう促しました。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
ヌール・バズミ
Noor Bazmi氏はメディア研究の学位を取得し、Cryptopolitanニュースチームの一員として活動しています。ブロックチェーン、暗号資産、人工知能、ビッグテック、EV市場、世界経済、政府政策の変化に関するニュースをカバーしています。現在はマーケティングの勉強を進め、グローバルな聴衆との接点を広げています。
