Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

北朝鮮グループ「Lazarus」が悪用する10種類のツール

JPCERTコーディネーションセンターは、北朝鮮が関与し、「Hidden Cobra」などとしても知られる攻撃グループ「Lazarus」が攻撃に用いたソフトウェアの情報を取りまとめ、公開した。

標的型攻撃では、マルウェアを用いるだけでなく、正規ツールや一般的に出回っているソフトウェアなども悪用することがわかっているが、同センターでは同グループが内部ネットワークの調査や感染活動などに用いるソフトウェアの情報を公開した。

いわゆるラテラルムーブメントに利用するツールとしては、「Active Directory」から情報を収集する「AdFind」をはじめ、ネットワーク内のSMB共有のリストを取得する「SMBMap」、また「LLMNR」「NBT-NS」「MDNS」のレスポンダーである「Responder-Windows」がクライアントの誘導に悪用されていた。

また情報の窃取でも3種類の一般的なツールを悪用。具体的には、クライアント端末内のメーラーやブラウザからパスワード情報を抽出する「XenArmor Email Password Recovery Pro」「XenArmor Browser Password Recovery Pro」や、圧縮ソフト「WinRAR」などが利用されている。

そのほかバックドアとしてVNCクライアントの「TightVNC Viewer」を悪用。メモリダンプを取得する正規ツール「ProcDump」や、広く利用されているパケットキャプチャツール「tcpdump」、ダウンローダーである「wget」なども利用していた。

これらツールは「Lazarus」以外の攻撃グループが悪用する可能性もあり、同センターでは、提供元のURLとともにハッシュ値などの情報を取りまとめた。ただし、いずれもマルウェアではなく、正規の目的で利用されるケースもあるとして、取り扱いに注意するよう求めている。

(Security NEXT - 2021/01/19 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Drupal」に複数脆弱性 - サードパーティ製ライブラリに起因
悪意あるファイルの検知、前年比5.7%増 - 1日平均約38万件
ペット用品通販サイトに不正アクセス - 閉鎖直後に被害が判明
2021年4Qの脆弱性届出、ソフトとウェブともに減少
主任計量者の試験問題や個人情報含むUSBメモリを紛失 - 三重県
「LINE VOOM」で非公開の友だちに投稿を閲覧される不具合
F5がセキュリティアップデート - 脆弱性25件を修正
「Adobe Acrobat/Reader」のアップデートが公開 - 26件の脆弱性を解消
パーソナルデータ、4割弱が利用目的に関わらず「提供したくない」
Google、深刻な脆弱性に対処した「Chrome 97.0.4692.99」をリリース