北朝鮮のBlueNoroff APTが「完全にダウンした」MacOSマルウェアを公開

プラトン再発行

フォロワー： 0

北朝鮮の国家ハッカーらが米国と日本のユーザーをターゲットにした新たなMacマルウェアを公開し、研究者らはこれを「愚か」だが効果的だと特徴付けている。

北朝鮮の悪名高いラザロ・グループの一部門であるブルーノロフは、以下のことを行っていることが知られている。金政権のために資金を集める金融機関（銀行、ベンチャーキャピタル会社、暗号通貨取引所とスタートアップ — そしてそれを使用する個人。

今年の初め以来、Jamf Threat Labs の研究者たちは、MacOS システムを標的とした「RustBucket」と呼ばれる BlueNoroff キャンペーンを追跡してきました。で火曜日に公開されたブログ、彼らは、暗号通貨交換を模倣した新しい悪意のあるドメインと、グループが新しいターゲットを侵害するために使用している「ObjCShellz」と呼ばれる初歩的なリバースシェルを明らかにしました。

Jamf Threat Labs のディレクター、Jaron Bradley 氏は次のように述べています。「過去数か月間、このグループによる多くの行動が見られました。私たちだけでなく、複数のセキュリティ会社も同様です。」「彼らがこの機能を低下させたマルウェアを使用して目的を達成できるという事実は、間違いなく注目に値します。」

MacOSを狙う北朝鮮のハッカー

ObjCShellz の最初の危険信号は、接続先のドメイン swissborg[.]blog でした。このアドレスは、正規の仮想通貨取引所 SwissBorg が運営するサイト swissborg.com/blog に不気味なほど似ています。

これは、BlueNoroff の最新のソーシャルエンジニアリング戦術と一致していました。で現在進行中の RustBucket キャンペーン、脅威アクターは、採用担当者や投資家を装ってターゲットに接触し、オファーやパートナーシップの可能性を持ちかけています。この策略を続けるには、通常のネットワーク活動に溶け込むために、正規の金融 Web サイトを模倣したコマンドアンドコントロール (C2) ドメインを登録することがよくあると研究者らは説明しました。

以下の例は、Jamf チームが正規のベンチャーキャピタルファンドの Web サイトからキャプチャしたもので、BlueNoroff がフィッシング活動に使用しました。

BlueNoroff がフィッシングに使用する正規の投資ページのスクリーンショット — 出典: Jamf

最初のアクセスが完了すると、 MacOS ベースのマルウェア — 増加傾向そしてBlueNoroffの最近の名物。

「彼らは、これらの暗号通貨を保有する開発者や個人をターゲットにしているのです」とブラッドリー氏は説明し、このグループは便宜的に、XNUMXつのオペレーティングシステムを使用している人だけをターゲットにすることに満足していません。「Windows コンピュータで被害者を追跡することもできますが、多くの場合、それらのユーザーは Mac を使用することになります。したがって、そのプラットフォームをターゲットにしないことを選択した場合、盗まれる可能性のある非常に大量の暗号通貨をオプトアウトすることになる可能性があります。」

ただし、技術的な観点から見ると、ObjCShellz は非常に単純です。Apple コンピュータ用の単純なリバースシェルであり、攻撃者のサーバーからコマンドを実行できます。 (研究者らは、このツールが多段階攻撃の後期段階で使用されるのではないかと考えています。)

Jamf の研究者らは、バイナリは XNUMX 月に日本から XNUMX 回アップロードされ、XNUMX 月中旬に米国に拠点を置く IP から XNUMX 回アップロードされたと付け加えました。

BlueNoroff が暗号通貨を盗んだ成功を踏まえ、ブラッドリー氏は Mac ユーザーに対し、Windows のユーザーと同様に警戒を続けるよう促しています。

「Mac が本質的に安全であるということについては多くの誤った理解がありますが、それには確かにある程度の真実があります」と彼は言います。「Mac は安全なオペレーティングシステムです。しかし、ソーシャルエンジニアリングに関しては、誰もがコンピューター上で悪意のあるものを実行する可能性があります。」