今週のまとめでは、CTIが、求職者や採用担当者を装った北朝鮮の脅威アクターが関与する2つの別々のキャンペーンについて調査しています。 次に、「Telekopye」として知られる悪意のあるTelegramボットとその運営者に関する最新情報をご紹介します。 最後に、CTIは、北朝鮮と結びついた脅威アクターが、RustBucketやKandyKornなど、macOSを標的とした2つの大規模なキャンペーンを最近どのように実行したかについて調査しています。
1. ハッカーは求職者や採用担当者を装います
研究者らは、 の北朝鮮系脅威アクターである (新しいタブで開きます) を、求職者や採用担当者を装ってマルウェアを拡散する2つのキャンペーンと関連付けています。
ここでは、両方のキャンペーンについて詳しく見ていきます。
最初のキャンペーン：「Contagious」インタビュー
「 」と名付けられた最初のキャンペーン（ （新しいタブで開きます））では、攻撃者が雇用主を装い、面接の過程を通じてソフトウェア開発者を騙してマルウェアをインストールさせようとします。 パロアルトは、 2023年3月 までさかのぼる関連する不審な活動を検知しており、このキャンペーンのインフラは 2022年12月 の時点で構築されていたことが判明しています。
このキャンペーンに関連するマルウェアの名称から、研究者らは、この脅威アクターが、正規の人工知能、仮想通貨、NFT関連の企業、あるいは人材紹介会社を装う傾向にあると見ています。
接触した後、攻撃者は被害者にオンラインインタビューへの参加を呼びかけます。 面接中、彼らは被害者に、GitHub上にホストされている悪意のあるNPMパッケージをダウンロードしてインストールするよう説得しようとします。このパッケージは、面接の一環としてレビューや分析を行うためのソフトウェアであるかのように装われている可能性が高いです。 このパッケージには悪意のあるJavaScriptが含まれており、被害者のホストにバックドア型マルウェアを感染させます。 この悪意のあるNPMパッケージには、BeaverTailという名称の、新たに発見されたマルウェア用のJavaScriptが含まれています。
- 「BeaverTail」マルウェア（ ）は、情報窃取型マルウェアであると同時に、ローダーの役割も果たします。 このマルウェアは、ウェブブラウザに保存されている仮想通貨ウォレットやクレジットカード情報を標的としています。 また、InvisibleFerretとして知られるマルウェアの次の段階を取得し、実行します。
このマルウェアは、Node.js 環境に依存しているため、実行には手動での操作が必要であり、これにより検知を回避しやすくなっています。 Windows、Linux、またはmacOSにインストールされると、基本的なシステム情報を収集し、仮想通貨ウォレットに関連するブラウザ拡張機能を検索します。
- InvisibleFerretマルウェア（ ）は、BeaverTailのNPMパッケージによって取得され、実行されます。 これは、フィンガープリントの取得、リモート制御、キーロギング、データの持ち出し、ブラウザからの情報窃取、およびAnyDeskクライアントのダウンロードが可能な、クロスプラットフォーム対応のPythonマルウェアです。
第2のキャンペーン：ワゲモール
2回目のキャンペーンでは、攻撃者は金銭的利益やスパイ活動のために、組織への不正な就職を図っています。 「Wagemole」と呼ばれるこのキャンペーンは、 2022年8月の頃から始まっていたと考えられています。
研究者たちは、「Contagious Interview」キャンペーンに関連するGitHubのインフラに注目を移したところ、別のアカウント上に、まったく別のGitHubリポジトリを発見しました。 このアカウントには、偽の身元情報を使った履歴書、就職面接でよく聞かれる質問と回答、自己紹介の台本、米国企業のIT関連求人情報のコピー、盗まれた米国永住者カードのスキャン画像、および身元不明の販売者の連絡先リストなどのファイルが保存されていました。
GitHubのリポジトリに掲載されていた偽の履歴書には、それぞれ異なる米国の電話番号が個人連絡先として記載されており、中にはLinkedInのプロフィールへのリンクや、長期間にわたる活動履歴があり定期的に更新されているGitHubのコンテンツへのリンクが含まれているものもありました。 詐欺を働く求職者たちは、メール、フリーランスサイト、ソースコードリポジトリ、求人エージェントのプラットフォームなどで、複数のアカウントを保有しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Contagious Interview」キャンペーンは、採用担当者を装い、求職者にマルウェアを感染させようとする、北朝鮮系の脅威アクターによる他の多くのキャンペーンと共通点があります。 ただし、後者のキャンペーンでは、その手法が逆転しており、脅威アクターがさまざまな企業に自ら応募し、採用オファーを受け入れようとしているようです。 このキャンペーンは技術的な側面をあまり重視しておらず、その代わりに、脅威アクターに対し、偽の履歴書の活用方法や面接の質問への対応といった基本を訓練し、正規の職に就いてスパイ活動を行うための手口を指導しています。 リモートワークでは偽のプロフィールを作成するのが非常に容易であるため、LinkedInのようなプラットフォームにおいて、偽のプロフィールがますます懸念材料となっています。
2。 「Telekopye」Telegramボットが、大規模なフィッシング詐欺を可能にしています
Telekopye （新しいタブで開きます） について、新たな詳細が明らかになりました。これは、脅威アクターが フィッシングメール、ウェブサイト、SMSメッセージなどを作成するために使用する悪意のあるTelegramボットです。
この作戦の背後にいる脅威アクターは、コードネーム「 Neanderthals」 （新しいタブで開きます） と呼ばれており、さまざまな役割を担うメンバーからなる階層構造を持つ、正規の企業としてこの作戦を運営しています。
ネアンデルタール人はどのように集団に加わるのでしょうか
テレコピエ社は、アンダーグラウンドのフォーラムをはじめとするさまざまなチャネルを通じて広告を出し、新たなネアンデルタール人を募集しています。 これらの広告は非常に露骨で、採用の目的がオンラインマーケットプレイスの利用者を騙すことにあると明記されています。
ネアンデルタール人を目指す方は、テレコピエのことをどこで知ったか、またどのような経験があるかを記載した申請書をご提出ください。 承認を得た後、ネアンデルタール人は「テレコピエ」の利用を開始し、2つのチャンネルに参加できるようになります。1つは、メンバー同士でコミュニケーションをとったり、ルールやマニュアルを閲覧したりできるグループチャット、もう1つは取引ログが保存されている別のチャンネルです。
「テレコピエ」詐欺の種類
Telekopyeによって行われる主な詐欺の手口には、売り手による詐欺、買い手による詐欺、そして返金詐欺の3つがあります。
- による売り手詐欺：この詐欺では、ネアンデルタール人が売り手を装い、ユーザーを騙して実在しない商品を購入・支払わせようとします。 ユーザーは、Telekopyeによって作成されたフィッシングサイトへのリンクを受け取ります。 このリンクは、正規のオンラインマーケットプレイスの決済ページを装っていますが、オンラインバンキングのログイン情報、クレジットカード情報、その他の機密情報の入力を求めてきます。
- の買い手詐欺：ここでは、ネアンデルタール人が買い手を装っています。 彼らは販売中の商品に興味を示し、すでに代金を支払ったと主張します。 ネアンデルタール人は、Telekopyeによって作成されたメールやテキストメッセージを販売者に送信し、その中には、販売者がプラットフォームから代金を受け取るためにはこのリンクをクリックする必要があると偽るフィッシングサイトへのリンクが含まれています。 この詐欺の残りの部分は、売り手による詐欺と非常によく似ています。
- 返金詐欺：このネアンデルタール人は、売り手が返金を期待するような状況を作り出します。 その後、彼らは、以前の詐欺と同じ目的を持つ別のフィッシングサイトへのリンクが記載されたフィッシングメールを送信してきます。 ネアンデルタール人は、これまで連絡を取ったことのない出品者にこのメールを送り、彼らが欲張って返金を受け取るだろうと期待するか、あるいはこれを「出品者詐欺」の手口と組み合わせるでしょう。 後者の場合、購入者が「購入した商品が届いていない」と主張すると、そのネアンデルタール人は、二度目の詐欺を働くために、返金に関するフィッシングメールを送ってきます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ESETが指摘しているように、「 」というオンラインマーケットプレイス詐欺（、 ）は、当分なくならないでしょう。 この手口は、アイテムの購入、販売、または返金を試みる前に、ネアンデルタール人が被害者の信頼を勝ち取る能力に大きく依存しています。 この手口のビジネスライクな仕組みは興味深く、彼らは、さまざまな言語で被害者との信頼関係を築く能力を持ち、その仕事に真に適任な人物のみを選別しています。
3。 北朝鮮と結びついた脅威アクターが、2つのキャンペーンでmacOSを標的にしています
北朝鮮と結びつくとみられる脅威アクターは、今年に入ってからこれまでに、macOSを標的とした2件の大規模な キャンペーンを実施しており、その中には「RustBucket」や「KandyKorn」が含まれています。 (新しいタブで開きます) 現在、攻撃者はこれら2つの作戦の構成要素を組み合わせて使用しているようです。
RustBucketとKandyKornについて
当初の「RustBucket」キャンペーン（ ）は、SwiftLoaderと呼ばれる第2段階のマルウェアを用いて、「2023年4月」で初めて確認されました。 このマルウェアは、標的に送信されたおとり文書を閲覧するためのPDFビューアとして、外部からは機能していました。 これは、Rustで記述されたマルウェアのさらなる段階を取得し、実行する役割を担っていました。
「KandyKorn」キャンペーン（ ）は、はるかに精巧な多段階の作戦でした。 この攻撃は、ある仮想通貨取引所のブロックチェーンエンジニアを標的とし、Pythonスクリプトを使用して、ホストの端末にインストールされていたDiscordアプリケーションを乗っ取るマルウェアを仕込みました。 また、KandyKornと呼ばれるバックドア型のリモートアクセストロイの木馬（RAT）も配信しました。
2023年10月 の最近の調査では、北朝鮮と結びついた脅威アクターである （新しいタブで開きます） によって行われた、5段階からなる攻撃キャンペーンの詳細が明らかにされました。 この攻撃は、Discordユーザーを騙して、仮想通貨の裁定取引ボットを装った悪意のあるPythonアプリケーションをダウンロードさせるソーシャルエンジニアリングから始まりました。 このPythonアプリケーションは、「Cross-Platform Bridges.zip」というファイル名で提供され、いくつかの無害なPythonスクリプトが含まれていました。
RustBucketの最近の活動状況
一見すると、「RustBucket」キャンペーンは、まったく別のキャンペーンのように見えます。 まず、第1段階として、AppleScriptアプレットと、「Internal PDF Viewer.app」と呼ばれるSwiftベースのアプリケーションバンドルが使用され、これらは特別に作成されたPDFファイルを利用してコードのロックを解除し、Rustベースのペイロードをダウンロードしていました。 最初のRustBucketキャンペーン以降、実環境において他にもいくつかのRustBucketの亜種が確認されており、Swiftベースのステイガーのいくつかの亜種も確認されています。これらは総称してSwiftLoaderと呼ばれています。
SwiftLoaderとKandyKornの関係
実環境において、SwiftLoaderの複数のバージョンが確認されています。 あるバージョンは、「crypto-assets and their risks for financial stability[.]app[.]zip」という名前のフィッシングメールに添付されて配布されています。 このアプリケーションはAppleによって署名および公証されており、バンドル識別子はcom.EdoneViewer、メインの実行ファイルはEdoneViewerです。 このバージョンのSwiftLoaderには、KandyKornの動作といくつかの興味深い共通点があります。
メインの実行ファイルである「EdoneViewer」を分析したところ、そこにハードコードされたURLが含まれていることが判明しました。 このマルウェアは特定のドメインに接続し、/users/shared/.pw に隠された実行ファイルを配置します。 KandyKornのPythonスクリプトは、同様のドメイン上にホストされているマルウェアに次の段階への接続を試み、同様の場所に隠しファイルを配置しました。 同様に、SwiftLoaderが C2から取得したファイルと同じファイル名を持つ、KandyKorn RATの亜種が発見されました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Sentinel Oneの分析により、北朝鮮と結びつきのある脅威アクターによって実施された、これまでに報告されていた2つのキャンペーンとの関連性が明らかになりました。 同社の調査結果によると、これらの脅威アクターは、おそらく「RustBucket」ドロッパーと「KandyKorn」ペイロードを共有していることが判明しました。 今回の分析では、新たなTTP（戦術・技術・手順）は多く明らかになりませんでしたが、脅威アクターがマルウェアを共有することがいかに一般的であるかが浮き彫りになり、それによって彼らの全体的な成熟度が高まっていることが示されています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ や、Taniumのディスカッションフォーラム にアクセスして、ぜひご意見をお寄せください。 さらに詳しくお読みになりたい方は、当社の最新の「 」サイバー脅威インテリジェンスまとめ をご覧ください。
