北朝鮮グループ「Lazarus」が悪用する10種類のツール
JPCERTコーディネーションセンターは、北朝鮮が関与し、「Hidden Cobra」などとしても知られる攻撃グループ「Lazarus」が攻撃に用いたソフトウェアの情報を取りまとめ、公開した。
標的型攻撃では、マルウェアを用いるだけでなく、正規ツールや一般的に出回っているソフトウェアなども悪用することがわかっているが、同センターでは同グループが内部ネットワークの調査や感染活動などに用いるソフトウェアの情報を公開した。
いわゆるラテラルムーブメントに利用するツールとしては、「Active Directory」から情報を収集する「AdFind」をはじめ、ネットワーク内のSMB共有のリストを取得する「SMBMap」、また「LLMNR」「NBT-NS」「MDNS」のレスポンダーである「Responder-Windows」がクライアントの誘導に悪用されていた。
また情報の窃取でも3種類の一般的なツールを悪用。具体的には、クライアント端末内のメーラーやブラウザからパスワード情報を抽出する「XenArmor Email Password Recovery Pro」「XenArmor Browser Password Recovery Pro」や、圧縮ソフト「WinRAR」などが利用されている。
そのほかバックドアとしてVNCクライアントの「TightVNC Viewer」を悪用。メモリダンプを取得する正規ツール「ProcDump」や、広く利用されているパケットキャプチャツール「tcpdump」、ダウンローダーである「wget」なども利用していた。
これらツールは「Lazarus」以外の攻撃グループが悪用する可能性もあり、同センターでは、提供元のURLとともにハッシュ値などの情報を取りまとめた。ただし、いずれもマルウェアではなく、正規の目的で利用されるケースもあるとして、取り扱いに注意するよう求めている。
(Security NEXT - 2021/01/19 )
ツイート
PR
関連記事
日東製網、四半期決算を延期 - ランサムウェア被害の影響で
2024年春季の登録セキスペ応募者、前年から13.3%増
「GarageBand」にセキュリティアップデート - 脆弱性1件を修正
米子会社にサイバー攻撃、情報流出の可能性 - パイロット
メンテナンス中に本人確認資料画像データを誤消去 - 琉球銀
読売新聞装うメールに注意 - 著作権侵害と脅す内容
サーバや端末にサイバー攻撃、放送への影響は否定 - テレビ新潟
「JSONata」にプロトライプ汚染の脆弱性 - アップデートにて修正
効率的な脆弱性対策を支援するオンラインセミナー開催 - IPA
Android 14の変更点をカバー - セキュアコーディングガイド新版