「WannaCrypt」に北朝鮮の攻撃グループ「Lazarus」関与か - 使用ツールに共通コード

米Symantecは、5月12日以降に感染が拡大したランサムウェア「WannaCrypt」について、断定には至らないものの、北朝鮮の攻撃グループ「Lazarus」との関連が疑われる要素を複数確認していることを明らかにした。

検知数の推移（グラフ：シマンテック）

同マルウェアは、「WannaCryptor」「WanaCrypt0r」「Wanna Decryptor」「WannaCry」「WCry」といった別名でも知られ、暗号化したファイルの復号を条件に金銭を要求するランサムウェア。マイクロソフトが3月に公開した月例セキュリティ更新で修正した「SMB v1」の脆弱性を悪用し、感染を広げる機能を備えている。

「Lazarus」との関連を疑わせる要素として、Symantecは同グループが利用するツールと、早期の「WannaCrypt」が出現したタイミングが一致したことを指摘。さらに同ランサムウェアがワーム機能を備えていない初期のバージョンが感染した端末内に、「Lazarus」のみが利用するツールが残存していたことを挙げている。

また「WannaCrypt」では、同グループが利用する既知のツール「Contopee」「Brambul」と共通のコードを利用。同コードの実装において、これらツール以外では確認されていない同じ文字列が発見されたとしている。

同社はこれら要素が、同グループの犯行を決定付けるものではないとしつつも、引き続き調査を進める方針だ。

（Security NEXT - 2017/05/17 ） ツイート

PR

関連記事

先週注目された記事（2024年8月25日〜2024年8月31日）
先週注目された記事（2024年8月18日〜2024年8月24日）
先週注目された記事（2024年8月4日〜2024年8月10日）
盆休みにパッチ公開日が直撃 - 夏季休暇に向けて十分な備えを
先週注目された記事（2024年7月28日〜2024年8月3日）
脆弱な「VMware ESXi」、グローバルで2万台以上が稼働か - 国内でも
先週注目された記事（2024年7月7日〜2024年7月13日）
先週注目された記事（2024年6月30日〜2024年7月6日）
「Cobalt Strike」不正利用対策で国際作戦 - 攻撃元IPアドレスを封鎖
6月の脆弱性悪用リスト「KEV」への登録は9件