北朝鮮のハッカーは、AIが生成したビデオとClickFixのテクニックを使って、暗号通貨分野のターゲットにmacOSとWindows用のマルウェアを配信するオーダーメイドのキャンペーンを行っている。
GoogleのMandiantリサーチャーが調査したフィンテック企業への攻撃で使用されたツールの役割から示唆されるように、脅威者の目的は金銭的なものです。
研究者たちは、対応中に7つの異なるmacOSマルウェア・ファミリーを発見し、この攻撃を2018年から追跡している脅威グループ「UNC1069」に起因するものとしています。
感染チェーン
この攻撃には強力なソーシャルエンジニアリングの要素があり、被害者は暗号通貨企業の幹部の侵害されたアカウントからTelegramメッセージングサービスを介して連絡を受けました。
親密な関係を築いた後、ハッカーはCalendlyのリンクを共有し、被害者を攻撃者のインフラストラクチャー上のなりすましZoomミーティング・ページに誘導した。
ターゲットによると、ハッカーは別の暗号通貨会社のCEOのディープフェイク・ビデオを見せたという。
“会議 “に入ると、偽のビデオ通話は、エンドユーザーに音声の問題が発生しているかのような印象を与える策略を促進した」とMandiantの研究者は言う。
この口実の下で、攻撃者は被害者に対し、ウェブページ上のコマンドを使用して問題のトラブルシューティングを行うよう指示した。Mandiantは、WindowsとmacOSの両方のページに、感染の連鎖を開始するコマンドを発見した。
Huntressの研究者は、2025年半ばに同様の攻撃手法を文書化し、Sapphire SleetやTA44としても知られる北朝鮮の別の敵対勢力であるBlueNoroffグループによるもので、異なるペイロードのセットを使用してmacOSシステムを標的としていたとしている。
macOSマルウェア
Mandiantのリサーチャーは、感染チェーンが始まるとAppleScriptが実行された証拠を発見しましたが、ペイロードの内容を復元することはできず、悪意のあるMach-Oバイナリを展開しました。次の段階で、攻撃者は7つの異なるマルウェア・ファミリーを実行しました：
- WAVESHAPER – バックグラウンドデーモンとして実行され、ホストシステム情報を収集し、curlを使用してHTTP/HTTPS経由でC2と通信し、後続のペイロードをダウンロードして実行するC++バックドア。
- HYPERCALL – Golangベースのダウンローダーで、RC4で暗号化された設定ファイルを読み込み、TCP 443でWebSocketを介してC2に接続し、悪意のあるダイナミックライブラリをダウンロードし、メモリにリフレクティブにロードします。
- HIDDENCALL – HYPERCALLによって反射的に注入されるGolangベースのバックドアで、ハンズオンキーボードアクセスを提供し、コマンド実行とファイル操作をサポートし、追加のマルウェアを展開します。
- SILENCELIFT – 最小限の C/C++ バックドアで、ホスト情報とロック画面のステータスをハードコードされた C2 サーバーにビーコン送信し、root 権限で実行されると Telegram 通信を中断することができます。
- DEEPBREATH – HIDDENCALL 経由で展開される Swift ベースのデータマイナー。TCC データベースを修正することで macOS TCC プロテクションを回避し、ファイルシステムに広くアクセスし、キーチェーン認証情報、ブラウザデータ、Telegram データ、Apple Notes データを盗み出す。
- SUGARLOADER– 次ステージのペイロードを取得するために RC4 で暗号化された設定を使用する C++ ダウンローダー。
- CHROMEPUSH – Google Docs Offline拡張機能を装ったChromiumネイティブメッセージングホストとしてインストールされ、キーストローク、クレデンシャル、クッキー、およびオプションでスクリーンショットを収集する、SUGARLOADERによって展開されたC++ブラウザデータマイナー。
.jpg)
Mandiant
発見されたマルウェアのうち、SUGARLOADERがVirusTotalスキャンプラットフォームで最も多く検出され、次いでWAVESHAPERがわずか2つの製品からフラグを付けられています。残りは同プラットフォームのマルウェアデータベースには存在しない。
Mandiant社によると、SILENCELIFT、DEEPBREATH、およびCHROMEPUSHは、脅威行為者にとって新しい一連のツールであるという。
研究者は、一個人に対してホストに展開されたマルウェアの量は異例であると述べています。
これは、2つの理由から、できるだけ多くのデータを収集することに重点を置いた標的型攻撃であることを裏付けている：「暗号通貨の窃盗と、被害者のアイデンティティとデータを活用したソーシャルエンジニアリングキャンペーンの燃料」だとMandiantは述べている。
2018年以降、UNC1069は新しいテクニックやツールを採用することで進化する能力を示してきた。2023年、悪意ある行為者はWeb3業界（集中型取引所、開発者、ベンチャーキャピタルファンド）のターゲットに切り替えた。
昨年、脅威行為者は、決済、仲介、ウォレットインフラストラクチャなどの垂直方向における金融サービスおよび暗号通貨業界にターゲットを変更した。
.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px;
width: 100%;
}
.ia_button {
width: 100%;
margin: 0px auto;
}
}
ITインフラの未来はここにある
現代のITインフラは、手作業のワークフローでは対応できないほど高速に動いています。
この新しいTinesガイドでは、チームが隠れた手作業の遅延を削減し、自動応答によって信頼性を向上させ、すでに使用しているツールの上にインテリジェントなワークフローを構築して拡張する方法をご紹介します。
Comments