北朝鮮のクレデンシャル窃取手法が「Kim」ダンプで明らかになった経緯

• 最近の**「Kim」ダンプ事件を通じて、北朝鮮のクレデンシャル窃取手法**が明らかになった
• 北朝鮮のハッカーはフィッシングサイトやソーシャルエンジニアリングの手法を積極的に活用している
• 彼らは西側諸国およびIT企業を主要な標的としている
• 攻撃手法は主にメールアカウント情報の窃取に関連している
• 今回の暴露により、米国など複数企業でのセキュリティ警戒が高まっている

---

「Kim」ダンプ事件の概要

• 最近発生した「Kim」ダンプ事件により、北朝鮮が計画的に大規模なクレデンシャル窃取活動を行っていた事実が明らかになった
• 当該データダンプは複数のITおよびコミュニティプラットフォームで共有され、攻撃の具体的な手法が公開された

北朝鮮の主なハッキング手法

• 北朝鮮のハッカー集団はフィッシングメールと類似Webサイトを通じて、ユーザーのログイン情報を収集している
• こうしたフィッシングサイトは本物のサイトと非常によく似せて作られており、被害者が自身のアカウント情報を入力すると自動的に窃取される
• ソーシャルエンジニアリングの手法も積極的に活用し、ユーザーの心理的な隙を突いている

攻撃対象と目的

• 主に米国や欧州などの西側IT企業およびセキュリティ関連組織が主要な標的となっている
• 組織内の人事担当者、開発者、システム管理者など、アクセス権限の高い人材が集中的な攻撃対象となっている
• 窃取したクレデンシャルを通じて、内部情報へのアクセスおよび追加の攻撃経路の確保を狙っていることが確認されている

セキュリティ上の意味と影響

• 「Kim」ダンプを通じて、北朝鮮の実際の攻撃手法と戦術的進化の様相を確認できる
• グローバルIT業界では、セキュリティ警戒の強化とクレデンシャル管理ポリシーの見直しに関する議論が活発化している
• 関連企業や機関は、リアルタイム監視とフィッシング対応訓練の強化に乗り出している

結論と今後の課題

• 北朝鮮のハッキンググループの活動は継続的に進化しており、より巧妙な手法が登場している
• IT業界の従事者と組織全体におけるセキュリティ意識の向上と多層的な対応体制の構築が必要だ

[GN⁺]

Hacker Newsの意見

• 今回の流出に責任があるハッカーはまさにこの人たちだと思う。phrack.orgの該当記事を参照

  • 「私はハッカーであり、私はお前たちとは正反対だ。私の世界では誰もが平等だ。私たちには肌の色も、国籍も、政治的目的もなく、誰の奴隷でもない」という古典的なハッカー・エリート主義の視点が見て取れる。しかし、このような「誰もが平等だ」という空間は、特定のタイプの人々に対してのみまともに機能する幻想でもある

• 今回の件が興味深いのは、DPRK（北朝鮮）とPRC（中国）がつながっている点にある。この両者の調整がどれほど深いのかは分からないが、明らかに完全に独立しているわけではない。このような公然たる名指しによって、PRCがDPRKや自国の活動との関与を否定しにくくなるのか気になる

  • たとえ北京が平壌の行動に不満を持っていたとしても、北朝鮮は中国にとって戦略的にあまりにも重要な存在であり、中国の支援が揺らいだり、それを隠そうとしたりする可能性は低い
  • 現時点では、PRCが自らの関与を否定できなくなるような決定的証拠（スモーキングガン）は見当たらないようだ
  • 中国が北朝鮮を支援していることはもはや秘密ではなく、これは米国が韓国を支援しているのと似たようなレベルだ。地政学的位置を見れば、中国のほうにより大きな名分がある。この文脈を理解するにはMonroe Doctrineを参照するとよい。キューバ危機も実際にはTurkey Missile Crisisとして見るのが適切だ。米国がトルコにジュピター核ミサイルを配備したことで、ソ連も対抗してキューバに配備した。結局、世界大戦寸前まで行ったが、ソ連が引き下がり、非公開の形でトルコのミサイルも撤去された。Monroe Doctrine、ジュピター・ミサイル情報を参照
  • 情報セキュリティのコミュニティでは、中国と北朝鮮の関連性は広く知られた事実だ。中国は世界で初めて公式の軍サイバーユニットを作った国だ。北朝鮮は金稼ぎ目的で後に続き、中国本土にホテルなどの不動産まで確保して作戦拠点として使っている。中国は事実上、対北朝鮮貿易でドルを受け取って物資を供給する「ランドリー」の役割も果たしている

• 流出データでは、TitanLdr、minbeacon、Blacklotus、CobaltStrike-Auto-Keystore などの攻撃ツール向け GitHub リポジトリが使われていたという。こうした攻撃ツールの開発をなぜ Github が許しているのか気になる。単なる表現の自由の問題なのか、それともこうしたツールに学術的意義もあるのか疑問だ

  • こうしたツールは侵入テストやレッドチーム業務でよく使われる。公開を禁じると、むしろ防御側だけが攻撃者の手法を知らない状態になり、本当に悪意のあるハッカーには何の妨げにもならない。これはすでに90〜2000年代に何度も議論された末の結論だ
  • セキュリティ研究者やペンテスターが主に使うツールだ
  • では代替案として何があるのか気になる
  • GitHub はイランや北朝鮮のような制裁対象国を遮断すべきではないのか疑問だ。公式ポリシーのリンクを参照

• 北朝鮮では一般人がコンピュータを学んだり所有したりするのは難しいと聞く。少数のエリートだけが選抜・訓練される構造だというが、彼らが最新技術を手に入れてハッキングを行っているのはかなり驚きだ

  • 北朝鮮のハッカーはおそらく世界最高レベルだ。政府が学生を早期に選抜して集中教育を施せば十分あり得る。西側諸国では教育が一般化しており、大学教育も実際のハッカー業務とは異なるからだ。西側の22歳のハッカーは6か月のインターン経験しかないかもしれないが、北朝鮮のハッカーはその年齢ですでに数年の経験を積んでいる可能性が高い
  • 北朝鮮のチームは各種コーディング大会でも好成績を収めており、少数精鋭のIT人材育成にはかなり長けているように見える
  • 「最新技術を使ってハッキングしているのが驚きだ」という反応があるが、人材選抜はそれほど難しいことではなく、そうした人材に最高の動機づけと条件を与えれば、高い能力を持つハッカーが出てくるのはむしろ当然だ

• 「Kim」というオペレーターと結び付いた流出データセットは、北朝鮮のサイバー作戦の実態を具体的に示している。しかし、なぜ北朝鮮のハッカーたちが痕跡をそのまま残したのかは理解しがたい。もっと巧妙な偽装の痕跡を残す代わりに、平壌までたどれるパンくずのような痕跡をなぜ残したのか不思議だ

• 今回の問題は技術的に興味深い部分が多い。インフラの一部はペンテスターやその他のセキュリティ担当者も使うツールであり、これを見ると「純粋に防御用の武器」のようなものは存在しないことが分かる。ところが逆に、議論は北朝鮮や中国批判へと容易に移ってしまう。この二重性を指摘するなら、「Stuxnet」と「Pegasus」という言葉だけで十分だ

• 中国との関連性（Option A/B）はやや誇張されている面がある。単に北朝鮮のハッカーが中国で活動している理由は、インターネットへのアクセスのためかもしれない。北朝鮮には公共インターネットがないのだから、ネットを使うために中国にいる、あるいは中国人のふりをしているだけで、中国側に操られているかどうかとは別の可能性もある

• APT ワークフローについて非常に詳細な分析だ。このレベルの内容を見ると、一般的な攻撃者であっても追随するために似た手口を模倣してしまう危険性がある

  • 情報公開には模倣犯を生むリスクがある一方で、この種の攻撃者を防ぐ戦略を立てなければならない人々に判断材料を与えることもできる。情報を片側だけが持つように防ぐことは、現実的には不可能だ