北朝鮮の攻撃グループ「HIDDEN COBRA」、国内で活動した形跡

今回観測された「FALLCHILL」は、少なくとも2016年より利用されていることが判明しており、二重化されたプロクシを用い、TLSに見せかけた暗号化通信を行うのが特徴。

また「FALLCHILL」の感染源は、「HIDDEN COBRA」が利用する別のマルウェアや、ウェブサイトなどと見られている。DHSの調査では、航空宇宙、通信、金融分野などが、おもな攻撃対象となっていた。

米政府では、組織内で「Volgmer」「FALLCHILL」などへ感染していないかチェックできるよう、「STIX」や「CSVファイル」で脅威情報を提供。マルウェアの解析結果についてもPDFで公開しており、調査などに利用することができる。