Lazarusのハッカーが6社に水飲み場攻撃を仕掛けた。

最近のスパイ活動において、悪名高い北朝鮮の脅威グループLazarusは、韓国のソフトウェア、IT、金融、および電気通信分野の複数の組織を標的にした。

この脅威集団は、韓国で特定の財務および管理タスクを完了するために必要とされるファイル転送クライアントの脆弱性を悪用し、水飲み場のような攻撃戦略を組み合わせました。

Kasperkyの研究者は、このキャンペーンを「Operation SyncHole」と名付け、この活動により2024年11月から2025年2月にかけて少なくとも半ダースの組織が危険にさらされたと述べています。

我々は、”Operation SyncHole “の被害に遭った韓国の少なくとも6つのソフトウェア、IT、金融、半導体製造、通信組織を特定した」とKasperkyは報告書で指摘している。

「しかし、このキャンペーンでLazarusによって悪用されたソフトウェアの人気が高いことから、より広範な業界にわたって、影響を受けた組織がさらに多数存在すると確信している」と研究者は付け加えた。

カスペルスキーによると、Lazarusのハッカーは、調査時点でベンダーが把握していたエクスプロイトを使用したが、以前にも他の攻撃で活用されていたという。

ターゲットの選択

攻撃は、Lazarusが訪問者をプロファイリングし、有効な標的を悪意のあるドメインにリダイレクトするためのサーバー側スクリプトで侵害した韓国の合法的なメディアポータルを訪問する標的から開始されました。

カスペルスキーが分析したインシデントでは、被害者は、韓国の人々がオンラインバンキングや政府のウェブサイトとの対話のために様々なWebブラウザでセキュリティソフトウェアを使用できるようにするツールであるCross EXの販売代理店などのソフトウェアベンダーを模倣したサイトにリダイレクトされます。

「Cross EXを悪用してマルウェアを配信した正確な手口は不明だが、ほとんどのケースで高い完全性レベルで実行されていることが確認されたため、攻撃者は悪用プロセス中に特権を昇格させたと考えられる」とカスペルスキーは説明している。

研究者によると、偽サイト上の悪意のあるJavaScriptがCross EXソフトウェアを悪用してマルウェアを配信しているという。

カスペルスキーは、使用された正確な悪用方法を発見していないが、研究者は “攻撃者は悪用の過程で特権をエスカレートさせたと信じている”。

さらに、「KrCERTのウェブサイトに掲載された最近のセキュリティアドバイザリによると、Cross EXには最近パッチが適用された脆弱性があるようで、私たちの調査期間中に対処された」とカスペルスキーのレポートは指摘している。

このエクスプロイトでは、正規の’SyncHost.exe’プロセスを起動し、そこにシェルコードを注入して’ThreatNeedle’バックドアをロードし、感染したホスト上で37のコマンドを実行できるようにする。

カスペルスキーは、確認された6人の被害者全体で複数の感染チェーンを観測したが、これらは攻撃の初期段階と後期段階で異なっており、共通しているのは最初の感染のみであった。

最初のフェーズでは、ThreatNeedleを使用して、システムのプロファイリングに「LPEClient」、マルウェアダウンローダーに「wAgent」または「Agamemnon」、横移動に「Innorix Abuser」ツールが展開されました。

カスペルスキーは、Innorix AbuserがInnorix Agentファイル転送ソリューションのバージョン9.2.18.496の脆弱性を悪用し、最新バージョンで対処されたと指摘している。

一部のケースでは ThreatNeedle がまったく使用されておらず、代わりに Lazarus が内部偵察に使用される「Copperhedge」バックドアを展開するために「SIGNBT」インプラントを使用していました。

カスペルスキーは、Operation SyncHole攻撃で使用されたツールに基づき、北朝鮮政府の支援を受けたLazarusハッカーグループによる攻撃であると確信することができました。

さらに、Lazarusに特有のテクニック、戦術、手順（TTP）に加え、作業時間やタイムゾーンも脅威の主体を示す手がかりとなりました。

カスペルスキーは、Operation SyncHoleで使用された最近のマルウェアサンプルに基づき、Lazarusがよりステルス性が高く、より設定可能な軽量かつモジュール化されたツールに移行していることを観察しました。

このサイバーセキュリティ企業は、韓国インターネット・セキュリティ庁（KrCERT/CC）に調査結果を伝え、このキャンペーンで悪用されたソフトウェアにパッチがリリースされていることを確認したと述べています。

攻撃分析中に、カスペルスキーの研究者は、Innorix Agentのバージョン9.2.18.001から9.2.18.538において、任意のファイルのダウンロードを可能にするゼロデイ欠陥（KVE-2024-0014）も発見した。

研究者はこのセキュリティ問題を韓国インターネット＆セキュリティ庁（KrCERT）を通じて責任を持って報告し、ベンダーは先月のアップデートでこれに対処した。