北朝鮮「HIDDEN COBRA」関与のトロイの木馬「HOPLIGHT」 - 米政府がIoC公開

情報窃取を行うほか、16件の実行ファイルは外部通信先との通信を隠ぺいする「プロキシ」の機能を備えていた。パブリックSSL証明書を用いて偽のTLSハンドシェイクセッションを生成し、通信を偽装する。

1件の実行ファイルは証明書を含み、他実行ファイルは、外部からファイルを追加で入手し、IPアドレスの情報やSSL証明書を得ていた。

韓国の検索エンジン大手であるNaverの公開SSL証明書を使用するほか、SSL/TLSライブラリ「PolarSSL」にテスト用で付属するデフォルトの証明書や秘密鍵なども悪用していたという。

（Security NEXT - 2019/11/01 ） ツイート

PR

関連記事

攻撃キャンペーン「Dangerous Password」の最新手口を分析
北朝鮮支援グループが医療機関にランサム攻撃 - 米政府が注意喚起
米政府、北朝鮮関連グループの攻撃に注意喚起 - 標的は暗号通貨やNFT関連
ウクライナ狙う破壊マルウェア、正規ソフトを悪用
同業者装いセキュ研究者に忍び寄るサイバー攻撃者 - 解析情報にワナも
偽取引アプリなどで暗号資産を窃取 - 北朝鮮関与か
攻撃グループ「Lazarus」のマルウェア情報を公開 - JPCERT/CC
北朝鮮グループ「Lazarus」が悪用する10種類のツール
国内組織で「HIDDEN COBRA」のマルウェアを観測 - ファイルサイズは約150Mバイト
米政府、北朝鮮関与「BeagleBoyz」に注意喚起 - 金融機関狙う「FASTCash 2.0」を展開か