偽の採用担当者がトロイの木馬化したコーディング課題で航空宇宙企業の従業員を誘い込む

• ESETの研究者は、スペインの航空宇宙企業を標的にしたLazarusの攻撃を発見し、これまで知られていなかったLightlessCanというバックドアが展開されたことを明らかにしました。
• Lazarusグループは、Metaの採用担当者を装った巧妙なスピアフィッシングキャンペーンを通じて初期アクセスを獲得しました。
• 被害者はLinkedInのメッセージ機能を通じて連絡を受け、2つのコーディング課題を受け取り、それを会社の端末にダウンロードして実行しました。
• この攻撃は、被害を受けた航空宇宙企業との協力によって明らかになりました。
• 攻撃者は、DLLサイドローディングによって配信された3種類のペイロードを含む、さまざまなツールを使用しました。
• 最も注目すべきペイロードであるLightlessCanバックドアは、リアルタイムのセキュリティ監視ソフトウェアによる検知やサイバーセキュリティ専門家の分析を回避する技術を実装しています。
• 2009年から活動している北朝鮮と関連するLazarusグループは、Sony Pictures EntertainmentへのハッキングやWannaCryptorの流行といった著名な事件の犯行主体として知られています。
• スペインでのこの攻撃は、防衛および航空宇宙企業を標的とするサイバースパイ活動を目的としたLazarusグループのOperation DreamJobに帰属されました。
• Lazarusグループは実行時のガードレールを使用し、ペイロードが意図した被害者のマシン上でのみ復号されるようにしています。
• 新たなペイロードであるLightlessCanは、その設計と運用の両面で高度な洗練さを示す複雑なツールです。
• 記事では、Comcast Cable Communications、Liquid Web、Netia SA、Coreix Ltd、GoDaddy.com、そしてKTを含む、C&Cサーバーをホストしていた侵害済みの正規Webサイトについて論じています。
• 記事では、攻撃者が使用したMITRE ATT&CKの手法について詳細な一覧を提供しています。
• 攻撃者はLinkedInを使って特定の従業員を特定し接触し、Metaのヘッドハンターを装った偽のLinkedInアカウントを作成しました。
• 記事は複数の情報源を参照し、サイバースパイ活動キャンペーンの包括的な概要を提供しています。
• 記事は、攻撃者が使用した手法や関連するWebサイトについて詳細な分析を提供しており、サイバーセキュリティに関心のある技術に明るい読者にとって特に関連性があります。

[GN⁺]

Hacker Newsのコメント

• ハッカーが採用担当者になりすまし、航空宇宙分野の従業員にトロイの木馬化されたコーディング課題を送るという巧妙なハッキング手法に関する記事。
• ハッカーは、Appleの警告システムでは通常無視されがちな、自宅で解く leetcode テストを通じてアクセス権を得ました。
• ハッカーは、企業情報に対する高レベルのアクセス権を持つ可能性が高い個人を標的にしました。
• 求職活動のために会社のリソースを使う人もおり、そのことがこのようなセキュリティ侵害を招く可能性があります。
• ハッカーは被害者に .exe ファイルを送りましたが、これは攻撃の可能性を示す危険信号であるべきでした。
• この種のセキュリティ事故を避けるため、意図的に履歴書をインターネット上に公開しない人もいます。
• 個人的な用事に会社のデバイスを使う人々への批判があります。これはセキュリティ侵害のリスクを高めます。
• 北朝鮮のハッカー集団 Lazarus/HIDDEN COBRA が、北朝鮮国内ではインターネットへのアクセスが制限されているにもかかわらず、なぜこれほど高度なのかという推測があります。
• この事件は、人々が qubes-os のような、より安全なオペレーティングシステムを検討するきっかけになっています。
• ハッカーは簡単なコーディング問題を送ってきましたが、多くの企業は中級または難問から始めるため、これは警告サインであるべきでした。
• 無料Wi-Fi経由でノートPCがハッキングされたといった、類似のハッキング事件に関する逸話もあります。