今週のまとめでは、CTIが「 」こと北朝鮮のラザロ・グループ（）による最新の活動を調査しています。これには、名前の明かされていないソフトウェアベンダーへの度重なる侵入や、複数のマルウェアファミリーの展開などが含まれています。 今回のCTIレポートでは、数年にわたり水面下で活動してきたDNS脅威アクター「Prolific Puma」について明らかにしています。 CTIは、ラザルス・グループと関わりがあり、現在、新しいmacOSマルウェアを用いて暗号資産取引所のブロックチェーンエンジニアを標的にしている北朝鮮の脅威アクターについて取り上げ、本レポートを締めくくります。
1. ラザラス・グループがソフトウェアベンダーを標的にしています
北朝鮮の 「ラザロ・グループ」 （新しいタブで開きます） は、ある名前の明かされていないソフトウェアベンダーに対して繰り返し攻撃を仕掛けていることが確認されています。 このグループは、複数のパッチや警告が提供されていたにもかかわらず、脆弱性を悪用することに成功しました。 攻撃者たちは、いくつかの回避手法を用い、複数のマルウェアファミリーを展開しました。
攻撃の概要
のSecureList（ （新しいタブで開きます））によると、このベンダーは以前、 のLazarus Groupによる攻撃を何度も受けていました（）。 この繰り返される侵害は、サプライチェーン攻撃を企てている可能性のある、執拗な脅威アクターの存在を示唆しています。
この攻撃で使用されたSIGNBTマルウェアは、多様な感染経路と高度な手法を採用していました。 この脅威アクターは、LPEClientを利用して、さまざまな標的型攻撃を実行しました。
SIGNBTローダーについて
2023年7月において、SecureListは、デジタル証明書を介してWeb通信を暗号化するように設計された正規のセキュリティソフトウェアを悪用し、複数の被害者を標的とした一連の攻撃を検知しました。
ある事例では、SecureListは、メモリ上で直接Windows実行ファイルを起動させる役割を果たしていたSIGNBTマルウェアおよびシェルコードを発見しました。 この攻撃において、攻撃者は持続性を確保するためにさまざまな戦術を用い、最終的なSIGNBTペイロードを読み込むために複数の手法を採用しました。 この脅威アクターは、主にDLLのサイドローディングを利用してSIGNBTを配布していました。
SIGNBTマルウェア：概要
SIGNBTマルウェアのインスタンスのほとんどは、メモリ上で動作するマルウェアローダーから起動されます。
実行されると、 C2 サーバーとの通信を開始し、設定データの初期化後にビーコンを送信します。 このマルウェアの通信には、「SIGNBT」で始まる特徴的な文字列が使用されており、これがマルウェアの名前の由来となっています。 このマルウェアは、24バイトの値を作成し、さらに 24 バイトのランダムなデータを生成して、これらをXOR演算で結合します。 エンコードされた値は、ランダムに生成された3つまたは7つのHTTPパラメータ名と組み合わされるため、その通信の検出や分析がより困難になります。 このマルウェアには、 C2からの指示に基づいて実行可能な、幅広い機能が備わっています。
SIGNBTがサポートしているコマンドには、次のようなものがあります：
- CCBrush： システム情報の取得、接続性の確認、設定の構成などの機能を取り扱います。
- CCList: 実行中のプロセスの一覧の取得、プロセスの終了、ファイルの実行、DLLの操作など、さまざまな処理を管理します。
- CCComboBox: ファイルシステムとの連携機能（ドライブの一覧取得、ファイルのプロパティ変更、新しいフォルダの作成など）を備えています。
- CCButton: ファイルのダウンロードおよびアップロード、メモリへの読み込み、画面のキャプチャを行います。
- CCBitmap: よく使われる Windows のコマンドやユーティリティを実装しています。
LPEClient
このアクターは、LPEClientや認証情報のダンプ用ユーティリティといったツールを配布していることが確認されています。 LPEClientというマルウェアは新しいものではなく、 2020年に発見されています。 このマルウェアは、被害者に関する情報を収集し、リモートサーバーから追加のペイロードをダウンロードしてメモリ上で実行します。
SecureListによると、このマルウェアは発見以来、大幅な進化を遂げてきました。 現在では、ユーザーモードのシステムコールフックを無効化したり、システムライブラリのメモリセクションを復元したりするなど、ステルス性を高め、検知を回避するための高度な手法を活用しています。
LPEClientは、過去にLazarus Groupによる攻撃で使用されたことがあります。 このマルウェアは、被害者のプロファイリングを行い、追加のペイロードを配信するための初期感染経路として繰り返し利用されています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この最新の報告書は、ラザラス・グループがいかに決意が固く粘り強い組織であるかを改めて示しており、サプライチェーン攻撃を仕掛けるために同じ企業を繰り返し攻撃しています。
このグループが、今後もトップクラスの脅威アクターの一つであり続けることに注力していることは明らかです。 同じソフトウェア企業に対する度重なる攻撃の試みにおいて、彼らはパッチがリリース済みの脆弱性の悪用に大きく依存していました。これは、タイムリーなパッチ適用がいかに重要であるかを改めて示しています。
2。 URL短縮サービスが「.US」トップレベルドメインを悪用しています
研究者たちは、「 」という名のDNS脅威アクターを積極的に追跡しています。Prolific Puma （新しいタブで開きます） は、登録済みドメイン生成アルゴリズム（RDGA）を使用してドメイン名を作成し、それらを利用して他の脅威アクターにリンク短縮サービスを提供し、 フィッシング やその他の悪意のある活動に利用しています。 このURL短縮サービスは、.USというトップレベルドメイン（TLD）を著しく悪用しています。
「Prolific Puma」とは何ですか？
「Prolific Puma」は、他のサイバー犯罪者が悪意のある活動を行えるようにすることで、サイバー犯罪のサプライチェーンにおいて小さな役割を果たしています。 このグループは、アルゴリズムを用いて大量のドメインを生成し、それらを用いて短縮URLを生成しています。 他の攻撃者は、これらのリンクを利用して自身の活動を隠蔽しています。
研究者たちは、 の「Prolific Puma」によるURL短縮サービスに関する報告を発見しました。 （新しいタブで開きます） これらは 2020年1月にまでさかのぼるものです。 短縮URLは、主にテキストメッセージを通じて被害者に送信されます。 とはいえ、他の場面でも活用できる可能性があります。
検出およびドメイン名の特徴
Infoblox社は、パッシブDNSクエリログを他のデータソースと統合し、新たにクエリが行われた、登録された、または設定されたドメインに対して一連の分析を実施しました。 これにより、彼らはこれらのドメインを分析・特定することができ、一部を不審なものとしてマークし、また一部を特定のDNS脅威アクターに紐付けました。 彼らは今年初め、RDGA検出のためのアルゴリズムを導入し、Prolific Pumaドメインをグループごとに特定しました。
Prolific Pumaのドメインと、実際の最終ランディングページとの関連性は間接的なものです。 悪意のあるトラフィックは、リダイレクト先ドメインに少量ずつ分散されており、戦略的な経時変化によって、一部のドメインが「良好」な評判を得ることになります。
多作なPumaは、 2022年4月以降、 35,000 から75,000 のユニークなドメインを登録しており、1日あたりおよそ43 件の新規ドメインが確認されています。 この俳優は、主にNameSiloをドメイン名登録業者として利用しており、匿名のプロバイダーでサービスのホスティングを開始する前に、戦略的にドメインを熟成させています。 この俳優は、.US TLDを常習的に悪用しており、新規ドメインだけでなく、期限切れドメインも登録していることで知られています。
ドメインは英数字で構成され、擬似ランダムに生成され、通常は3文字から4文字の長さです。 また、これらのドメインは 12 のTLDにまたがって登録されており、そのうち約55％が.USで登録されています。
.US TLDの悪用
.USドメインの登録資格があるのは、米国市民および米国関連企業のみに限られます。 NameSiloで.USドメインを登録するには、メールアドレスをお持ちであることと、米国との関連性を示すカテゴリを選択する必要があります。 多作なプーマが、「米国市民」というカテゴリーを選択しているのが確認されました。
また、登録者は氏名、住所、電話番号も提供する必要がありますが、これらの情報は手続きの過程でいずれも確認されていないようです。 レジストラがドメインを管理することは難しいため、これは多くのTLDにとって長年の課題となっています。
多作なプーマが戦略的なエイジングをどのように活用しているか
DNSを標的とする攻撃者は、マルウェアを標的とする攻撃者と似ていますが、DNSやドメイン登録レコードには、分析に利用できる情報がほとんど残されていません。 多作なPumaは、プライベートドメイン登録を好んで利用していますが、公開が義務付けられているTLD登録については、依然として当社に大きく依存しています。
この俳優は、ドメインを登録した後も数週間は未使用のまま、あるいはパーキング状態のままにしておきます。これは「戦略的エイジング」として知られる手法です。 これは意図的な措置です。多くのフィッシング攻撃は新規登録されたドメインと関連しているため、これに対応して、一部の企業では新規登録されたドメインへのアクセスをブロックしているからです。 この熟成プロセスにおいて、攻撃者は、そのドメインの評判を高めるために、いくつかのDNSクエリを実行します。
Prolific Pumaは他の脅威アクターに対してサービスを提供しているようであり、最終的なランディングページは彼らの管理下にはないようです――もっとも、管理下にある可能性もあります。 また、Prolific Pumaがどのように自社のサービスを宣伝しているのか、またユーザーが短縮URLをどのように受け取っているのかについても、依然として不明な点が残っています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
研究者たちは、悪意のあるキャンペーンの起点と終点、つまりランディングページを分析することに、しばしば多くの時間を費やしています。 「Prolific Puma」から見て取れるのは、より広範なサイバー犯罪のサプライチェーンにおける中間層であり、こうしたDNSを悪用する脅威アクターが、他のサイバー犯罪者の活動をどのようにさらに後押ししているかということです。 これこそが、Prolific PumaとそのURL短縮サービスをこれほど興味深いものにしている理由です。
3。 ハッカーが「KANDYKORN」マルウェアを用いて暗号通貨の専門家を標的にしています
北朝鮮の脅威アクターは現在、 に掲載された「KANDYKORN」と呼ばれる新しいmacOSマルウェア （新しいタブで開きます） を用いて、ある仮想通貨取引所のブロックチェーンエンジニアを標的にしています。
2023年4月にまで遡るこの活動は、カスタム機能とオープンソース機能を組み合わせたものであり、Lazarus Groupの活動と一部重複しています。
実行フロー
この事例では、攻撃者はまず、公開されているDiscordサーバー上で、ブロックチェーンエンジニアリングコミュニティのメンバーになりすますことから始めました。 その後、この俳優はソーシャルエンジニアリングの手法を用いて、被害者に悪意のあるコードが含まれたZIPアーカイブをダウンロードして解凍するよう説得しました。これにより、被害者は、アービトラージボット、つまりプラットフォーム間の仮想通貨の価格差を利用して利益を得るためのソフトウェアツールをインストールしていると信じ込まされたのです。
この攻撃チェーンは、最終的にKANDYKORNマルウェアの拡散につながります。
- 第1段階のドロッパー： testSpeed.py および FinderTools は、攻撃の第1段階で使用される2つのドロッパーです。
testSpeed.py は、外部への接続を確立し、Google ドライブの URL から別の Python ファイル（FinderTools）を取得します。その後、testSpeed.py はこの新しいファイルを保存して実行します。
FinderToolsもまたドロッパーの一種であり、隠された第2段階のペイロード（.sld）をダウンロードして実行します。
- ステージ 2 のペイロード： このステージでは、SUGARLOADERという名前の難読化されたバイナリが実行されます。 このバイナリは、.sld や .log といった 2 つの異なる名前で 2 回使用されています。 これは、マシンへの初回アクセス時および最終段階に向けた環境の初期化時に使用されます。 その主な目的は、 C2 サーバーに接続して、最終段階のペイロードである「KANDYKORN」をダウンロードし、実行することです。
SUGARLOADER は、リモートサーバーへの接続を確立する前に、設定ファイルが存在し、メモリに読み込まれ、復号されていることを確認します。 最後のステップは、 C2 サーバーから最終段階のペイロードをダウンロードして実行することです。 このアクターは、「リフレクティブ・バイナリ・ローディング」と呼ばれる手法を利用しており、これによってメモリ内のバッファからペイロードを実行することが可能です。 SUGARLOADERは、KANDYKORNのバイナリをリフレクティブにロードします。
- Stage 3 ローダー Discord： 攻撃のこの段階では、「HLOADER」と呼ばれるペイロードが、正規の Discord アプリケーションを装おうとします。 これは、以前ラザルス・グループによる「 3CX 」侵入事件に関連付けられていたmacOSのバイナリコード署名技術を用いて特定されました。
永続性を確保するため、このアクターは実行フローの乗っ取りを利用しています。 このローダーの主な目的は、正規のDiscordバンドルと、先ほど述べた.logペイロードを一緒に実行することです。このペイロードは、メモリ上からMach-Oバイナリファイルを実行するために使用されます。
- ステージ 4 KANDYKORN： KANDYKORN は実行チェーンの最終ステージであり、データへのアクセスや流出を行うための充実した機能を備えています。
そのプロセスは、設定ファイルを読み込む前にフォークされ、デーモンとしてバックグラウンドで実行されます。 通信が確立された後、KANDYKORNはコマンドをポーリングするのではなく、 C2 サーバーからのコマンドを待機します。 利用可能なコマンドには、情報の収集、ファイルの転送、ディレクトリのアーカイブ、ファイルの外部への持ち出し、上書き、削除、プロセスの終了、シェルの起動、新しい設定ファイルのダウンロードなどが含まれます。 このツールで認識されるコマンドの完全な一覧は、Elasticのレポートでご確認いただけます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ラザラスと関連のあるグループがmacOS向けマルウェアを利用したことは、今回が初めてではありません。 しかし、このことは、攻撃者がmacOS向けマルウェアに重点を置き始めている可能性を示唆しています。 この攻撃は特に暗号資産業界を標的としているように見えますが、その他のTTPの多くは特異なものではなく、したがって将来再び現れる可能性があります。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最近のサイバー脅威インテリジェンスまとめ記事をご覧ください。