セキュリティ脅威情報

北朝鮮に関連する脅威アクターが、求職者を装ってSNS等からアプローチし、コーディングテストを通じてマルウェアを感染させる長期的なキャンペーン「Contagious Interview」を展開しています。暗号資産の窃取に加え、開発者が所属する企業ネットワークへの侵入や情報窃取が行われています。

偽のGitHubリポジトリで配布されるインストーラーを起点として、Microsoft署名入りの脆弱なカーネルドライバを悪用し（BYOVD）、EDRやアンチウイルスを停止させた上で情報を窃取する攻撃キャンペーンの解説記事。

ChainScriptは、Node.jsをベースとした多機能なリモートアクセス木馬（RAT）です。偽のソフトウェアインストーラーをダウンロードさせる「ClickFix」手法を用いて感染端末に侵入し、Polygonのスマートコントラクトを介してC2サーバーのアドレスを動的に解決する特徴を持っています。

Windowsのネイティブコンポーネントやスクリプトホストを悪用し、正規の管理作業に偽装して持続化を図るPowerShellバックドアキャンペーンです。相互監視機能を持つ複数のプロセスで構成され、文書、認証情報、クリップボードデータ等を継続的に窃取します。

TerminalFixキャンペーンにおいて、攻撃者はPNGファイルのピクセルデータを操作してペイロードを隠蔽していました。通常のLeast Significant Bit（LSB）を用いたステガノグラフィとは異なり、利用可能な全ビットを使用して実行ファイルや複数に分割された悪性DLLを埋め込む手法が確認されています。

マシンピラティス「WECLE」を運営する企業は、過去にサービス提携していた株式会社LEAN BODYが運営する「LEAN BODY」において第三者からの不正アクセスが発生し、WECLEを通じて利用していた一部顧客の個人情報が流出したことを公表しました。対象者へはLEAN BODYより個別連絡が実施されています。

北朝鮮系のサイバー攻撃グループ「Jade Sleet」が、インドのITサービス企業に対する侵入に関与していたことが、セキュリティ企業SentinelOneの調査で明らかになりました。同グループは、DevOpsエンジニアなどを標的としたソーシャルエンジニアリングや、不正なTerraform依存関係ファイルを用いたサプライチェーン攻撃の手法を用いており、macOS向けのバックドア「FLATROOF」および「ROOFDECK」を展開していると報告されています。