今週のまとめでは、北朝鮮政府とつながりのある国家支援型のサイバー脅威アクターによるソーシャルエンジニアリングやなりすましの手口を指摘した、共同サイバーセキュリティ勧告について分析いたします。 続いて、CTIは、「Asylum Ambuscade」として知られる脅威アクターの二重の正体に関するレポートの概要をご紹介します。この脅威アクターは、サイバー犯罪とサイバー諜報活動の境界線上を行き来しています。 最後に、CTIは、ランサムウェア「Cyclops」に関連する脅威アクターと、その新たな情報窃取機能に関するレポートを詳細に分析しています。
1. ワシントンとソウルが、北朝鮮の「キム・スクイ」サイバースパイを摘発しました
6月1日 による共同サイバーセキュリティ勧告では、Kimsuky（別名 TA406 およびThallium） — 朝鮮民主主義人民共和国とつながりを持つ、国家が支援する高度な持続的脅威（APT）グループによる、ソーシャルエンジニアリングやなりすましの手口が指摘されています。 この報告書は、連邦捜査局（FBI）、米国務省、国家安全保障局（NSA）が、大韓民国（ROK）の国家情報院（NIS）、国家警察庁（NPA）、外務省（MOFA）と共同で作成したものです。
この悪意のある活動は、コンピュータ・ネットワーク・エクスプロイテーション（CNE）を支援するものであり、世界中の研究センター、シンクタンク、学術機関、報道機関で働く個人を標的としていると報じられています。
この共同勧告の主な目的は、Kimsukyによるサイバー攻撃の手法、特にソーシャルエンジニアリングやなりすましの利用に焦点を当てることにあります。 各機関は、北朝鮮の中でも特に活発かつ効果的なAPTの1つが用いる戦術、技術、手順（TTP）を明らかにすることで、その活動に対する認識が高まり、潜在的な標的となる組織が基本的なサイバーセキュリティ対策を講じる一助になると考えています。
Kimsukyについて知っておくべきこと
2012年から事業を展開している のKimsukyは、主に外交官、非政府組織、シンクタンク、および朝鮮半島関連の問題に精通した専門家を対象としています。
情報機関やサイバーセキュリティの研究者によると、このグループは、国連安全保障理事会から制裁措置を受けている北朝鮮の軍事情報機関「偵察総局（RGB）」によって統制されているとのことです。
新たな共同勧告で説明されているように、キムスキーは北朝鮮のサイバープログラムにおいて重要な役割を果たしており、同政権の広範な情報収集の大部分を担うとともに、北朝鮮の諜報能力の相当部分を支えています。
この共同勧告を共同で作成した同盟国のサイバーセキュリティ機関――およびそれらの機関が所属する各国政府――は、 「北朝鮮政権のサイバープログラムの主な目的には、米国、韓国、およびその他の関心国に関する最新の情報への継続的なアクセスを維持し、同政権の安全保障と安定に対する政治的、軍事的、あるいは経済的な脅威を阻止することが含まれている」と評価しています。
共同勧告によると、Kimsukyは北朝鮮のRGB内の組織に行政上従属しており、その役割における任務には、少なくとも 2012年以降、 RGB の様々な目的を支援する広範なサイバー作戦の実施や、RGBの情報要件（IR）を支援するためのデータ収集が含まれています。 すべての活動は、Kimsukyの包括的な主要な使命、すなわち、盗み出したデータや貴重な地政学的知見を北朝鮮政権に提供することを目的として行われています。
Kimsukyがソーシャルエンジニアリングやスピアフィッシングをどのように利用しているか
を標的としたフィッシング攻撃 は、攻撃者が標的となるネットワークへの初期侵入を容易にし、被害者のリソースやデバイスへのアクセス権を取得するための主要な手段となっています。
Kimsukyのオペレーターたちは、10年以上にわたり、詐欺的な通信を作成する技術を磨き上げてきました。各メッセージは、対象となる標的の関心を引きつけ、欺き、知らず知らずのうちに攻撃のきっかけを作らせるよう、個別に仕組まれています。
共同勧告より：
Kimsukyによるスピアフィッシング攻撃は、広範な調査と準備から始まります。 北朝鮮のサイバー攻撃者は、公開情報を利用して価値のある潜在的な標的を特定し、その後、被害者に対してより現実的で魅力的に見えるよう、オンライン上のペルソナを調整することがよくあります。
Kimsukyの攻撃者は、スピアフィッシング攻撃に信憑性を持たせるために、かなりの手間を惜しまないでしょう。 例えば、Kimsukyの攻撃者は、なりすまそうとしている実在の人物のメールアドレスと酷似したメールアドレスを作成します。また、スピアフィッシングメッセージの悪意のあるコンテンツをホストすることのみを目的とした、本物らしく見えるドメインを登録することもあります。 北朝鮮の関係者は、標的をより効果的に欺くために、一見すると一般的なインターネットサービスやメディアサイトに酷似したドメインを頻繁に利用しています。
その他の注目すべきスピアフィッシングの手口
Kimsukyの攻撃者は、よく知られた報道機関やジャーナリストになりすまし、タイプミスを利用したドメインを悪用して、正規の情報源とよく似たアドレスからスピアフィッシングメールを送信することがよくあります。
北朝鮮のサイバー攻撃者は、デジタル通信において信頼を得て親密な関係を築くために、実在する人物になりすますことがよくあります。 彼らはしばしば実在する人物のメールアカウントを乗っ取り、乗っ取られた受信箱内の正当なやり取りを調査して情報を収集し、攻撃者が既存のやり取りに割り込んでくる場合に備えて、より説得力のあるふりをしようとします。 なりすましの被害者の受信トレイをくまなく調べることで、攻撃者は新たな標的を探すことができるだけでなく、連絡先リストや社交クラブなどの貴重な情報も収集することができます。 また、北朝鮮の攻撃者は、被害者のメール署名を利用して、より説得力のあるスピアフィッシングメールを作成することも可能です。
共同勧告より：
「北朝鮮のサイバー攻撃者たちは、外交政策の専門家が所有する電子メールアカウントを乗っ取り、その後、その専門家の電子メールアカウントと身元を利用して、他の重要な標的と連絡を取るために二次的な電子メールアカウントを作成することも知られています。」
Kimsukyの攻撃者は、1人の標的を誘導するために複数のペルソナを用いることも多く、主たるなりすましの信憑性を裏付けるために、補助的な身元情報を利用することがよくあります。 信頼できる情報源からのメッセージを転送することは、北朝鮮のアクターによって使用されているのと同じような戦術です。
初期のスピアフィッシングメールの中には、悪意のあるリンクや文書（通常、メールのセキュリティ対策を回避するためにパスワードで保護されています）が含まれている場合もありますが、最初のメールには悪意のあるコンテンツが含まれていないケースの方がはるかに一般的です。その目的は、親密な関係を築くこと、そして何よりも重要なのは、信頼関係を築くことにあるからです。
標的への攻撃に成功すると、北朝鮮の攻撃者は、悪意のあるコンテンツ（多くの場合、テキスト文書に埋め込まれた悪意のあるマクロの形式）を送りつけることで、標的のアカウント、デバイス、またはネットワークを侵害します。 共同勧告によると、この文書は電子メールに直接添付されているか、Google ドライブや Microsoft OneDrive などのファイルホスティングサービスに保存されています。 これらの悪意のあるマクロは、有効化されると、Kimsukyのコマンド＆コントロール（C2）インフラストラクチャと密かに接続を確立し、標的のデバイスへのアクセス権を取得することを目的としています。
場合によっては、Kimsukyの攻撃者は、認証情報の収集を目的として、実際のウェブサイト、ポータルサイト、またはアプリケーションの偽サイト（非常に精巧に作られているものの）を作成することがあります。
共同勧告より：
標的となったアカウントが侵害されると、被害者の通信内容への継続的なアクセスが可能になる恐れがあります。その多くは、Kimsukyの攻撃者が使用する「BabyShark」と呼ばれるマルウェアを通じて行われます。 また、Kimsukyの攻撃者たちは、被害者のメールアカウントの設定を変更し、すべてのメールを攻撃者が管理する別のメールアドレスへ密かに自動転送するようにしていることも知られています。
脅威アクターは、ソーシャルエンジニアリングの手法を用いて、ジャーナリストや学者、シンクタンクの研究者を装い、彼らを標的にすることがよくあります。 こうしたなりすましによる連絡は、外交政策に関する問い合わせへの回答の依頼、アンケート調査の実施、インタビューの依頼、文書の確認、履歴書の提出依頼、あるいは研究論文の執筆に対する報酬の提示などに利用されることがよくあります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「キム・スクイのような北朝鮮の国家支援を受けた攻撃主体が、窃取や悪用を目的としている情報は、キャンペーンごとに多岐にわたります。」 例えば、韓国政府の発表によると、キム・スクイ氏は、「兵器開発、衛星、宇宙分野における最先端技術を盗用することで」、直接的または間接的に北朝鮮の衛星開発に関与してきたとのことです。
「いつものように、北朝鮮は今回の打ち上げをめぐるワシントンや他国からの批判を一蹴し、宇宙探査に関する主権を主張しました。」
「前述の通り、またこの件に関する『ザ・レコード』紙の記事でも繰り返し指摘されているように、Kimsukyのようなグループによるなりすまし攻撃が危険である理由は、一部の標的が、こうした攻撃がもたらす脅威を過小評価してしまう可能性があるからです。その理由は、『自らの研究や通信が機密性の高いものであると認識していないか、あるいはこうした活動が政権によるより広範なサイバー諜報活動を助長していることに気づいていない』ためです。」
2。 「Asylum Ambuscade」：犯罪用ソフトウェアか、それともサイバー諜報活動か？
ESETの「We Live Security」ブログに掲載された新しいレポートでは、 、Asylum Ambuscade、 （新しいタブで開きます）、、として追跡されている脅威アクターの、ある種二面性のある実態について考察しています。このアクターは、犯罪用ソフトウェアの拡散を行うサイバー犯罪と、サイバースパイ活動の境界線上を行き来しています。
「アサイラム・アンブサケード」とは何ですか？
「Asylum Ambuscade」は、何よりもまずサイバー犯罪グループですが、その一方で、「副次的な活動」として、幅広いサイバー諜報活動も行っています。 このグループは 2020年から活動を続けています。
このグループの存在と活動は、 2022年3月 で初めて公表されました。これは、 Proofpoint （新しいタブで開きます） の研究者たちが、「国家が関与している可能性が高い フィッシング （新しいタブで開きます） キャンペーンについて、ウクライナから逃れてきた難民の物流管理に携わる欧州政府職員を標的として、おそらく乗っ取られたウクライナ軍関係者のメールアカウントが使用されていた」と報告したおかげです。
この活動が突如として現れたように見えたという事実は、Proofpointの研究者たちにも見逃されていませんでした。彼らは、その名称に「ambuscade」（待ち伏せ）という単語を盛り込んだのです。
しかし、ロシア・ウクライナ紛争が勃発するまでの数ヶ月から数年にわたり、脅威の全体像の中で、多くの脅威グループやその派生組織が次々と現れていました。 では、このグループの特徴は何でしょうか？
「Asylum Ambuscade」は、北米やヨーロッパをはじめとするさまざまな地域の銀行顧客や仮想通貨トレーダーを標的とするクライムウェアグループです。 また、このグループは、ヨーロッパや中央アジアの政府機関に対してもスパイ活動を行っています。 また、そのインプラントのほとんどは、AutoHotkey、JavaScript、Lua、Python、VBSといったスクリプト言語を使用しています。
さて――このサイバー脅威アクターのスキルは、金銭的な動機を持つサイバー犯罪集団のものに近いように見えますが、ひとまずその点は脇に置いて――「Asylum Ambuscade」が業務時間外に何に取り組んでいるのか、つまりスパイ活動について見ていきましょう。
サイバー諜報活動
「Asylum Ambuscade」は、少なくとも 2020年以降、サイバー諜報活動を行ってきたと報じられています。 We Live Securityのブログ記事では、この事実を裏付ける証拠として、中央アジアやアルメニアにおける政府高官や国有企業の従業員に対する過去の攻撃事例が挙げられています。
Based on Proofpoint’s report, it’s clear that the group was observed targeting official personnel associated with the governments of various European countries bordering Ukraine in 2022. これらのキャンペーンの目的は、標的とされた政府関係者が利用している公式のウェブメールポータルから、情報やウェブメールの認証情報を盗み出すことでした。
これらの攻撃キャンペーンを構成する攻撃は、多くの場合、悪意のあるVBAコードが埋め込まれたExcelファイルを添付したスピアフィッシングメールから始まっていました。 このコードは、攻撃者が制御するリモートサーバーからMSIパッケージをダウンロードし、Luaで記述されたダウンローダーである「SunSeed」をインストールする役割を担っていました。
とはいえ、添付ファイルにバリエーションがなかったというわけではありません。 6月、 2022 Asylum Ambuscadeは、広く報じられた の「Follina」 の脆弱性（CVE-2022-30190 （新しいタブで開きます））を悪用しました。 これは、悪意のあるVBAコードの通常の使用法とは大きく異なるものでした。
こうした攻撃の手口において、攻撃者が標的となったデバイスをさらに攻撃する価値があると判断した場合、次の段階として「AHKBOT」のインストールを実行することになります。 AutoHotkeyで記述されたダウンローダーであり、さまざまなプラグインを活用して機能を拡張できるAHKBOTは、侵害されたマシンからの情報収集を容易にします。 これは、同グループが保有するツールセットのほんの一例に過ぎません。
サイバー犯罪の攻撃キャンペーン
「Asylum Ambuscade」は、 2020年初頭から金銭を目的としたサイバー犯罪活動を行っていると報じられています。 また、 2022年1月 以来、同サイトのサイバー犯罪活動により、世界中で実に 4,500 人もの被害者が出ています。 このグループの被害者は主に北米に分散していますが、アジア、アフリカ、ヨーロッパ、南米でも被害者が確認されています。
Asylum Ambuscadeの標的選定パターンに関しては、同グループの被害対象は比較的多岐にわたり、個人、仮想通貨トレーダー、およびさまざまな業界に属する中小企業（SMB）などが含まれています。
脅威アクターの活動や標的選定の多くに潜む目的は、かなり明白ですが（例えば、このグループは仮想通貨を盗むことを目的として、仮想通貨トレーダーを標的にしています）、その目的の一部は、一見しただけではそれほど明らかではありません。 例えば、このブログ記事の執筆者は、「Asylum Ambuscade」が中小企業へのアクセスを通じてどのように収益化を行っているかについては、ほとんど知られていないことを認めています。 しかし、研究者たちは、この犯人が単に他のサイバー犯罪組織にアクセス権を売却し、それらの組織が盗まれたアクセス権を利用してランサムウェアを展開したり、その他の種類の恐喝やデータ窃盗を行ったりしている可能性があると推測しています。 著者らはまた、この現象は観測されたテレメトリデータには現れていないと指摘しています。
Asylum Ambuscadeが犯罪用ソフトウェア（クライムウェア）活動を支援するために活用している攻撃チェーンについては、同グループのサイバー諜報活動の目的達成を支援するために用いられる侵害サイクルと、かなりの重複が見られます。 最も明らかな違いは、初期アクセスベクトルです。
同報告書によると、このグループがサイバー犯罪キャンペーンにおいて使用する二次的な侵害経路の一つとして、悪意のあるGoogle広告が利用されており、これにより被害者は、 の悪意のあるJavaScriptファイルを配信するウェブサイト（ （新しいタブで開きます）、、）にリダイレクトされます。
「We Live Security」より：
トラフィック誘導システム（TDS）における複数のHTTPリダイレクト。 同グループが使用しているTDSは、Proofpoint社によって「 404 TDS」と呼ばれています。 これは「Asylum Ambuscade」に限ったことではなく、例えば、別の脅威アクターがQbotを配布するためにこれを使用していたことも確認されました。
また、このグループは、TclやVBSといった他のスクリプト言語を用いたSunSeedの類似ツールや、Node.jsで動作するAHKBOTの類似ツールも開発しており、報告書の著者らはこれを「NODEBOT」として追跡しています。
出典
侵害チェーンのほぼすべての側面で著しい類似性が認められることから、サイバー諜報活動とサイバー犯罪活動の両方が、単一のグループによるものであることは明らかです。 この主張は、SunSeedとAHKBOTの両方が、これら2つの目的を支援する攻撃において広く利用されてきたという事実によって、さらに裏付けられています。 この概要の元となった資料の著者たちは、SunSeedとAHKBOTが現在、闇市場で販売されているかどうかについては懐疑的です。
「We Live Security」より：
SunSeedやAHKBOTが闇市場で販売されているとは考えておりません。 これらのツールは、市販されている他のクライムウェアツールと比べるとそれほど洗練されておらず、複数のグループ間で共有されているツールセットであるにもかかわらず被害者の数はかなり少なく、また、各キャンペーンを通じてネットワークインフラが共通しているようです…… したがって、私たちは「Asylum Ambuscade」が、副次的な活動としてサイバー諜報活動を行っているサイバー犯罪グループであると考えています。
ここから、このブログ記事では、Asylum Ambuscadeのツールセットに関する極めて技術的な詳細について解説しています。同グループの犯罪用ソフトウェア（クライムウェア）キャンペーンの大部分で展開された悪意のあるJavaScriptファイルから、同グループが独自に開発した第1段階のダウンローダー、第2段階のダウンローダー、さらにはSunSeedやAHKBOTを支える数多くのプラグインに至るまで、あらゆる点について分析と洞察を提供しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Asylum Ambuscadeは、何よりもまずサイバー犯罪者集団であり、このグループの主な動機は金銭的なものであると見られます。」
「その点を踏まえ、また、サイバー犯罪者が副業として専用のサイバー諜報活動を展開している事例は極めて稀であることから、このアクターによるものとされる諜報活動は、おそらく請負業務であり、現時点では特定されていない国家政府の指示、あるいは自らの関与を隠そうとする政府支援のハッカー集団からの依頼に基づいて行われている可能性が高いと言えるでしょう。」
「国家が支援する脅威アクターが、業務の特定の側面をサイバー傭兵に『外注』することは珍しくありません。」 例えば、イランのAPTが真っ先に思い浮かびます。 しかし、ここには一見しただけではわからない何かがあるようです。 「CTIは、この一連の事態について引き続き注視してまいります。」
3。 ランサムウェア「Cyclops」と情報窃取型マルウェアの組み合わせ：二重の脅威
Uptycsによる最近のレポートでは、 の「Cyclops」ランサムウェア （新しいタブで開きます） および、その新たな情報窃取機能に関連する脅威アクターについて詳しく分析しています。
Cyclopsランサムウェアは、Windows、Linux、macOSを含むすべての主要なオペレーティングシステムを標的としています。 このマルウェアは現在、WindowsおよびLinuxデバイス双方からデータを盗み出すように設計された新しいバイナリを拡散させています。
研究者たちがサイクロプスを発見した経緯
Uptycs社は、定期的なダークウェブの監視作業中に、ランサムウェア・アズ・ア・サービス（RaaS）である「 」 の新たなプロバイダーを発見しました。このプロバイダーは、ランサムウェアサービスに加え、情報窃取を目的とした別のバイナリも提供しています。 RaaSの背後にいる攻撃者は、さまざまなフォーラムでこれらのサービスを宣伝し、そのサービスを利用した者から得られた利益の一部を要求しています。 また、3つの異なるオペレーティングシステムにランサムウェアを拡散させるための独立したパネルも備えています。
ランサムウェアのバイナリ解析
前述の通り、Cyclopsランサムウェアには、Windows、Linux、macOS向けの亜種が存在します。
Windows
Uptycsは、Cyclopsの管理パネルからWindows用アーカイブファイルをダウンロードし、ビルダーのバイナリファイルとreadme.txtファイルが存在することを確認しました。
この脅威アクターは、「locker.exe」という名前の身代金要求ペイロードを作成するためのビルダーIDを、非公開で共有しました。 このペイロードは、ローカルマシンとネットワークに接続されたマシンの両方に感染するように設計されており、付属のテキストファイルには、ペイロードの実行手順が記載されています。
このペイロードは、標的となったマシン上で実行中のプロセスをスキャンして特定し、暗号化プロセスを妨害する可能性のあるプロセスをすべて終了させます。
このペイロードは、GetLogicalDriveStrings API を使用して、システムの論理ドライブ情報を取得します。 ドライブ文字を取得した後、フォルダを列挙し、「How To Restore Your Files.txt」というタイトルの身代金要求メッセージをディスク上に保存します。 暗号化を行う前に、ファイルの拡張子があらかじめ定義されたリストと一致するかどうかを確認します。 一致しない場合は、そのファイルを暗号化し、拡張子「.cyclops」を付加します。
このランサムウェアのバイナリを使用する攻撃者は、単に「SELECT*FROM Wind32_ShadowCopy」というクエリを実行するだけで、被害者のシステムからシャドウコピーの詳細情報を取得することができます。 出力には、各シャドウコピーのID、作成日時、ボリューム、名前などが含まれます。 その後、ペイロードは、IDによって特定される特定のシャドウコピーの削除を開始します。 削除は、Windows Management Instrumentation（WMIC）コマンドラインユーティリティを実行することで行われます。
Linux
このLinux版は、リバースエンジニアリングを困難にするため、関数名が削除されたGo言語でコンパイルされたファイルです。
サンプルを実行したところ、Uptycsは、特定のパスにあるファイルや仮想マシンを暗号化したり、詳細出力を有効にしたりするオプションを提供していることがわかりました。
この亜種は、暗号化したすべてのフォルダに身代金要求メッセージを残し、その後、検出されたファイル、暗号化されたファイル、暗号化に失敗したファイル、時刻などに関するレポートを生成します。
macOS
この亜種のハッシュは、Go言語でコンパイルされたファイルであり、Mach-Oバイナリ形式となっています。
実行すると、特定のパスにあるファイルや仮想マシンを暗号化したり、詳細出力を有効にしたりするオプションが利用できます。
身代金要求の実行に選択されたオプションでは、暗号化されたファイルが身代金要求メッセージとともに指定されたフォルダに配置されます。
Stealerのバイナリ解析
Uptycs社は、Cyclopsステラーの亜種に関する技術的な詳細について、現在も調査を進めているところですが、現時点で把握している情報を公開しています。
Windows情報窃取ツール：Uptycsは、Cyclopsの管理パネルからこのWindows情報窃取ツールをダウンロードしました。 ダウンロードしたアーカイブファイルを解凍したところ、研究者たちは「stealer.exe」と「config.json」という2つのファイルを入手しました。
このステラーは、 x64 システム向けの実行可能バイナリであり、標的となったマシンからさまざまなシステム情報を抽出します。 その後、この窃取プログラムは、対応する拡張子やサイズが記載されたファイル名のリストを含む「config.json」ファイルを読み込みます。
その後、この窃取プログラムはディレクトリを列挙し、標的となるファイルや特定のファイル拡張子が存在するかどうかを確認します。 一致するファイルが見つかった場合、そのファイルの完全なコピーとフォルダ階層構造を含んだ、パスワードで保護された新しいZIPファイルが作成されます。 その後、このデータは脅威アクターのサーバーへと流出させられます。
Linux向け情報窃取型マルウェア：Linux版と同様に、アーカイブファイルから「stealer.linux」と「config.json」という2つのファイルが発見されました。
この窃取ツールは、まず config.json を読み込みます。このファイルには、ファイル名の一覧と、それに対応する拡張子およびサイズが記載されています。 Windows版と同様に、ディレクトリを列挙し、対象となるファイルやファイル拡張子の有無を確認し、一致したファイルについてはパスワードで保護されたZIPファイルを作成します。
その後、ZIPファイルはapi[.]bayfiles[.]com/uploadおよびapi[.]anonfiles[.]com/uploadにアップロードされます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Cyclopsは、比較的最近になって初めてその実態が明らかになった、比較的新しいRaaS（RaaS）組織です。」 この組織は、ランサムウェアでWindows、Linux、macOSを標的にしているほか、情報窃取型マルウェアの提供にも活動を拡大しています。
「これらの手法と、その複雑な暗号化方式を併せ考えると、この作戦の背後にいる脅威アクターが高度な能力を有していることは明らかです。」 「Cyclopsが、登場してまだそれほど経っていないにもかかわらず、これらすべてを提供していることを踏まえると、無名のランサムウェア組織がいかに急速に重大な脅威となり得るのかが理解できるようになります。」
これらのストーリーについて、何かご意見やご感想など、お聞かせいただけませんか？ の Tanium ディスカッションフォーラムにアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
