北朝鮮サイバー攻撃の脅威データを「STIX」で公表 - 「FALLCHILL」「Volgmer」の感染チェックを

一方「FALLCHILL」は、攻撃グループである「HIDDEN COBRA」が利用していた「リモートアクセスツール（RAT）」で、少なくとも2016年より利用していることが明らかとなっている。

攻撃の標的とされたのは、航空宇宙、通信、金融分野など。「HIDDEN COBRA」が利用する別のマルウェアやウェブサイトなどを感染源として利用していた。

二重化されたプロクシを用いており、TLSに見せかけ、RC4により難読化した通信をコマンド＆コントロールサーバとの間で行っていた。暗号化キーについても今回のレポートで明らかにしている。

感染端末からはOSやプロセッサ、システム名、IPアドレス、MACアドレスなどの情報を送信。外部からの命令でドライブに関する情報を取得するほか、プロセスやファイルの捜査、タイムスタンプの変更、データの削除といった機能を備えていた。

（Security NEXT - 2017/11/17 ）ツイート