【サイバー攻撃】北朝鮮の攻撃グループ「Lazarus」の日本での活動を観測、カスペルスキーが注意を呼び掛け

1 : 2020/09/25(金) 14:59:53.48 ID:CAP_USER

さまざまなOSを標的とした攻撃に使用されるマルウェアフレームワーク「MATAフレームワーク」や「VHDランサムウェア」について、攻撃グループ「Lazarus(別名:HiddenCobra)」の関与があることを株式会社カスペルスキーが明らかにした。

□Windows/Mac/Linux版が存在する「MATAフレームワーク」
 Lazarusは北朝鮮の国家支援型サイバー攻撃グループで、2009年から活動が観測されている。

 MATAフレームワークは、ローダーやプラグインのほか、マルウェアの設定データやプラグインの読み込み、指令サーバーとのやりとりを行うオーケストレーターなど、さまざまなコンポーネントから構成されている。Windows版、Mac版、Linux版が存在しており、攻撃の痕跡から2018年4月ごろから使われていることが分かった。

レス1番のサムネイル画像
ローダーやプラグイン、オーケストレーターなどから構成される「MATAフレームワーク」

 Linux版はオーケストレーターとプラグインのほか、正規のコマンドラインツールである「socat」と、Atlassian Confluence Serverの脆弱性(CVE-2019-3396)を悪用するスクリプトが含まれていた。また、機能面ではほぼ同じであるMac版は、オープンソースソフトウェアを基にした、トロイの木馬化されたアプリが見つかっている。

 攻撃の主な対象は、ソフトウェア開発企業、eコマース企業、インターネットサービスプロバイダーなどで、ポーランド、ドイツ、トルコ、韓国、インドのほか、日本国内においても攻撃が観測されている。標的企業から顧客データベースを探し出してデータを盗むために利用されている可能性があり、ある事例ではランサムウェアの拡散にも利用されていることを確認している。

レス1番のサムネイル画像
株式会社カスペルスキーの石丸傑氏(グローバル調査分析チームマルウェアリサーチャー)

 MATAフレームワークのオーケストレーターから特徴的な文字列「c_2910.cls」「k_3872.cls」が見つかったが、攻撃グループのLazarusが使用した「Manuscryptバックドア」にも同様の文字列が含まれており、設定情報などのデータ構造も似ていることから、カスペルスキーの石丸傑氏(グローバル調査分析チームマルウェアリサーチャー)は同グループが関与している可能性があるという。

レス1番のサムネイル画像
オーケストレーターから特徴的な文字列「c_2910.cls」「k_3872.cls」が見つかった

>>2 へ続く

□関連リンク
MATA:マルチプラットフォームなマルウェアフレームワーク(カスペルスキー)
https://blog.kaspersky.co.jp/mata-framework/28875/
Lazarusの実験的ランサムウェア攻撃(カスペルスキー)
https://blog.kaspersky.co.jp/lazarus-vhd-ransomware/28892/

2020年9月25日 13:04
INTERNET Watch
https://internet.watch.impress.co.jp/docs/news/1275791.html

2 : 2020/09/25(金) 15:00:04.26 ID:CAP_USER
>>1 から続く

□「VHDランサムウェア」にも共通点を発見
 VHDランサムウェアを用いた攻撃にもLazarusが関与している可能性があることを同氏は指摘する。

 VHDランサムウェアは、暗号化したファイルの拡張子に「.vhd」を使用する、身代金要求型のランサムウェアだ。同ランサムウェアを用いた攻撃は欧州や日本国内で3月から観測されている。

 感染までの流れだが、SSL-VPN製品の脆弱性を悪用することでVPNをバイパスして内部ネットワークへ侵入し、内部端末にてSMBv1の脆弱性「MS17-010」を悪用してファイルレス型のバックドアを感染させて指令サーバーと通信を行う。また、「AdFind」「Sysinternals」などの正規ツールを用いて内部ネットワークを探索し、ユーザー情報や端末情報に加えてドメイン管理者の認証情報の窃取を行う。

レス2番のサムネイル画像
「VHDランサムウェア」感染までの流れ

 その後、取得したドメイン管理者の認証情報を用いて各端末上にダウンローダーを複製してリモートで実行する。ダウンローダーによってVHDランサムウェアがダウンロードされ、最終的に各端末上のファイルが暗号化されるようになる。

 ファイルレス型のバックドアについて解析したところ、複数のMATAプラグインとオーケストレーターが攻撃起点となった端末から発見されたことからLazarusが関与している可能性が出てきたという。そのため、同グループが日本国内を含めて活動を活発化している恐れがあるとみている。

レス2番のサムネイル画像
痕跡からLazarusが関与している可能性が出てきた

 石丸氏はこれらの脅威への対策として、セキリティアップデートの実施、EDR製品の導入やランサムウェア対策のバックアップ、アクセスコントロールの見直しなどを行うよう注意を呼び掛けた。

3 : 2020/09/25(金) 15:02:30.40 ID:hb73kTmJ
おまえのIPアドレスは

192.168.11.

今日はこれくらいにしておいてやろう・・・

10 : 2020/09/25(金) 15:23:32.97 ID:oowgjgmN
>>3
怒ったぞ、かわりにお前のもばらしてやる。

ホスト名がlocalhostだろ、どうだ?

43 : 2020/09/25(金) 19:20:46.27 ID:s/m4ztqc
>>10
なにぃ!?
127.0.0.1ではないのか!?
12 : 2020/09/25(金) 15:27:44.25 ID:JtVsWqsD
>>3
11.の次は?
31 : 2020/09/25(金) 16:51:32.56 ID:FVwOQZj8
>>3
わははは、ばかめ。
::1だろ。
32 : 2020/09/25(金) 17:06:57.30 ID:75V+Dj7i
>>3
これが天才ハッカーの実力か、恐ろしい。
6 : 2020/09/25(金) 15:12:59.33 ID:mlC5FL4C
北朝鮮の優れたハッカーはアメリカに亡命した暁には
もれなく10万ドル差し上げよう♪って情報を大量に流せばいいんだよ!
7 : 2020/09/25(金) 15:17:34.36 ID:VaddcaOA
デジタル庁が日本でもやるからハッカー募集中だって?
9 : 2020/09/25(金) 15:20:52.70 ID:/+SMPw4N
マイナンバー情報もいかれるんやろうなぁ・・・
11 : 2020/09/25(金) 15:27:24.38 ID:IL1iN8QJ
そういや、日本で最初にビットコインで損出した
外国人社長が、ニヤニヤ笑いながら会見してたけど
あいつその後、どこで何やって暮らしてるんだろう
逃げ切ったんかな
13 : 2020/09/25(金) 15:33:05.87 ID:v0gMEEp+
ゴミ以下の貧乏国なのにサイバー技術は日本の遥か上を行ってるらしい
金融システムを破壊されないようにしないと大変なことになるぞ
15 : 2020/09/25(金) 15:36:06.95 ID:wIQ1YzRP
>>13
日本では居ないなぁ 金融関係は突破されたぞ

つまり システムプログラムを組める 天才レベルのハッカーの居場所 歩いて地道に探さないと 日本も金をばら撒いてくれ

57 : 2020/09/28(月) 07:40:05.08 ID:OjnKhPAr
>>13
でも社会不適応のハッカーが好きそうな国なんだよな北は
スキルあって魂売り渡せば意外と快適なんじゃないの
14 : 2020/09/25(金) 15:33:12.13 ID:wIQ1YzRP
>>1
ハッカー連中はこぞって 日本のシステムを構築してやってくれくれないか?誰も 組めてなくボロボロだ それと ついででよいから防衛庁 法務省も構築してやってくれ 頼んだぞ
16 : 2020/09/25(金) 15:36:24.96 ID:JUEZ36az
まぁいつも通り韓国経済がピンチになると
北のハッカー連中が急激に活発化する
そしてそういうときに限ってなぜか色々と見ないふりして隠蔽する日本の金融扱う組織
バカじゃねぇのマジで自分らの財産それで消えるんだけど大丈夫だと思ってんの?
未来のお財布消滅するのにね
17 : 2020/09/25(金) 15:38:35.99 ID:zXr49noD
カスペルスキーもロシアのマルウェアやろ
18 : 2020/09/25(金) 15:39:28.10 ID:G1dGTfo/
むずい
もう少し簡単に頼む
19 : 2020/09/25(金) 15:40:03.31 ID:wIQ1YzRP
日本政府は天才レベルのハッカーを探せよ その方が10年早い 手間も掛からない 周回遅れの日本
22 : 2020/09/25(金) 15:46:41.11 ID:0x84B0rn
>>19
どんなに優秀でも仕事量が多すぎて対応できない
軍隊と同じ
20 : 2020/09/25(金) 15:42:00.16 ID:wIQ1YzRP
【第二波のウイルス感染】とは全てのプログラムを壊す事かと思う 日本政府
21 : 2020/09/25(金) 15:42:40.47 ID:UFuhmO4K
まじかよ、どうしよう。
セキュリティソフトってトレンドマイクロのとこ以外でどこが良いんだろ?(´・ω・`)
23 : 2020/09/25(金) 15:48:56.15 ID:aB0Cm5fu
>>21
トレンドマイクロもあかんやろ。
俺はESETだが。
24 : 2020/09/25(金) 15:49:43.89 ID:+XWjFZP5
アメリカからバックドアの存在を指摘されているカスペルスキーさん
25 : 2020/09/25(金) 15:52:49.22 ID:Eh2ImNxr
  _ノ乙(、ン、)_セキュリティログが溜まりまくりよ
26 : 2020/09/25(金) 16:00:09.18 ID:I524z2B5
そういや、セキュリティソフトはwindowsの標準のやつ使ってるけど、大丈夫かって思う
本当は昔みたいにZonealarmで全ポート塞いでから、必要に応じて逐次開放するのが
安心なんだろうけど、非常にめんどくさいしな
28 : 2020/09/25(金) 16:16:08.51 ID:CMfU9LBt
カスペルスキーを信用できません
30 : 2020/09/25(金) 16:19:49.02 ID:ahJl1iP0
中共系は論外だがロシア系も信用できん
DuckDuckGoもロシア臭いし
XP時代にはカスペもサンドボックスかで使ってた気もするが
33 : 2020/09/25(金) 17:09:17.31 ID:6rfnuhE5
ゆうちょもそうだろ
35 : 2020/09/25(金) 17:27:07.66 ID:tX0aIuu+
マイクロソフトはWin10で他社セキュリティソフトが穴になるから入れるなって言ってなかったか?
自分とこでも出してるしOS開発元として正しい姿勢だと思う
36 : 2020/09/25(金) 17:48:38.57 ID:ODpVYimf
NEMは結局どうなった?
37 : 2020/09/25(金) 17:54:15.37 ID:O0WHflRR
いつまで経ってもAndroid11に対応しないカスペルスキーなんて信用できね~
38 : 2020/09/25(金) 18:19:01.76 ID:651MiDhN
金日成と金正銀の写真をデスクトップにしとくか。
39 : 2020/09/25(金) 18:35:09.63 ID:TRjRrIkv
北のサイバー部隊
3000人
天才を 半島中から 集合
40 : 2020/09/25(金) 18:55:08.89 ID:1XNrRVA1
win10でノートンをアンインストールするべきか悩んでいる
Windows Defenderを頼るか悩むわ
41 : 2020/09/25(金) 18:56:54.08 ID:j08VdldN
コインチェックやマウントゴックスもLazarusだろ
42 : 2020/09/25(金) 19:05:36.57 ID:QorEeZcc
なんかロシアが攻撃しそうなメンツだなぁ
44 : 2020/09/25(金) 19:38:05.16 ID:+UjXKQ1s
カスペルスキーってマホーポーシャと似てね?
45 : 2020/09/25(金) 20:05:00.79 ID:IWGIdLUQ
ケーブル切断で国際的に孤立させたらと思うばかり
46 : 2020/09/25(金) 20:37:18.62 ID:wzIcKQiV
北は何で国外にネット繋げるんだよ
他国は基幹部分で通信弾けや
47 : 2020/09/25(金) 20:52:41.21 ID:zc8cKM7u
カスペルスキー自体ロシアの諜報機関…
48 : 2020/09/25(金) 21:03:14.16 ID:qLRrLZoM
石破氏に大量クリックもこれ
49 : 2020/09/25(金) 21:31:28.11 ID:Wg/4S8Sp
実態は○○総連だろ、〇団も加担してるよな
50 : 2020/09/25(金) 22:43:08.46 ID:0nMzPya/
また、朝鮮人かよ!
52 : 2020/09/26(土) 04:22:42.86 ID:yUZIe71h
スターソルジャーのラザロ思い出した。
53 : 2020/09/26(土) 12:37:48.07 ID:7EKQiFQy
ラザルス=不死者
この手のグループって厨二名つけたがるよね、アノニマスといい勝負
55 : 2020/09/26(土) 21:31:05.76 ID:eLMCak2n
近隣国に好き放題去れてる日本、基礎基本を忘れたのか、金までとられ
56 : 2020/09/27(日) 22:26:42.66 ID:04y4Y6Xa
北が攻撃してロシアがセキュリソフトってあからさまなマッチポンプ
58 : 2020/09/28(月) 23:44:48.20 ID:4vR74TK+
既にライフラインの電気系統や工場の稼働システム内に…かもよ
59 : 2020/09/30(水) 05:49:23.11 ID:yqfS6dTs
カスペルスキーてぱよぱよちーんの?

元スレ:https://egg.5ch.net/test/read.cgi/bizplus/1601013593

コメント

タイトルとURLをコピーしました