北朝鮮のハッカー集団ラザルス・グループは、偽の就職詐欺の一環として、新しいタイプの「高度な」マルウェアを使用している。研究者らは、このマルウェアは以前のものよりも検出がはるかに困難だと警告している。

ESETの上級マルウェア研究者ピーター・カルナイ氏の9月29日の投稿によると、スペインに拠点を置く航空宇宙企業に対する最近の偽の求人攻撃を分析しているときに、ESETの研究者は、公に文書化されていないLightlessCanというバックドアを発見した。

#ESET の研究者は、スペインの航空宇宙企業を狙った北朝鮮関連の#APTグループ#Lazarusによる攻撃に関する調査結果を発表しました。▶️ @TonyAtESET による#WeekinSecurityビデオで詳細をご覧ください。pic.twitter.com/M94J200VQx

— ESET (@ESET) 2023年9月29日

Lazarus Group の偽の求人詐欺は、一般的に、有名企業での就職の可能性を装って被害者を騙すものです。攻撃者は、文書を装った悪意のあるペイロードをダウンロードするように被害者を誘導し、あらゆる種類の損害を与えます。

しかし、カルナイ氏は、新しいLightlessCanペイロードは、その前身であるBlindingCanと比べて「大きな進歩」だと述べている。

「LightlessCan は、さまざまなネイティブ Windows コマンドの機能を模倣し、騒々しいコンソール実行ではなく、RAT 自体内での目立たない実行を可能にします。」

「このアプローチは、EDR のようなリアルタイム監視ソリューションや事後デジタルフォレンジックツールを回避する上で、ステルス性の面で大きな利点を提供します」と彼は述べています。

️‍♂️ 偽の LinkedIn リクルーターにご注意ください。Lazarus グループがトロイの木馬を使ったコーディング チャレンジでスペインの航空宇宙企業を悪用した方法をご覧ください。最新の#WeLiveSecurity記事で、彼らのサイバースパイ活動の詳細をご覧ください#ESET#ProgressProtected

— ESET (@ESET) 2023年9月29日

新しいペイロードは、研究者が「実行ガードレール」と呼ぶものも使用しており、ペイロードが意図した被害者のマシンでのみ復号化できるようにすることで、セキュリティ研究者による意図しない復号化を回避します。

カルナイ氏によると、新たなマルウェアが関係した事例の1つは、2022年にスペインの航空宇宙企業への攻撃で、従業員がスティーブ・ドーソンという名の偽のMetaリクルーターからメッセージを受け取った際に発生したという。

その後すぐに、ハッカーたちはマルウェアに埋め込まれた2つの簡単なコーディング課題を送信してきました。

Meta の採用担当者を装った攻撃者による最初の連絡。出典: WeLiveSecurity。

ラザルス・グループがスペインに拠点を置く航空宇宙企業を攻撃した主な動機はサイバースパイ活動だったと彼は付け加えた。

ブロックチェーンフォレンジック企業チェイナリシスの9月14日の報告書によると、2016年以来、北朝鮮のハッカーは仮想通貨プロジェクトから推定35億ドルを盗んだという。

2022年9月、サイバーセキュリティ企業SentinelOneはLinkedIn上での偽の求人詐欺について警告し、「Operation Dream Job」と名付けられたキャンペーンの一環として、潜在的な被害者にCrypto.comでの仕事をオファーした。

一方、国連は、北朝鮮が盗んだ資金を核ミサイル計画の支援に使っているとみられることから、国際レベルで北朝鮮のサイバー犯罪戦術を抑制しようと懸命に取り組んでいる。

雑誌: ポップコーン缶に34億ドル相当のビットコイン: シルクロードのハッカーの物語