北朝鮮のハッカー、暗号開発者をマルウェアの罠に誘い込むために偽の米国企業を設立

北朝鮮のハッカー、暗号開発者を標的に米国企業を設立

ラザロ・グループとつながりのある北朝鮮のハッカーが、暗号通貨分野に潜入するキャンペーンの一環として、米国に2つの会社をひそかに設立していたことが、サイバーセキュリティ企業サイレント・プッシュの調べで明らかになった。

BlockNovas LLCとSoftGlide LLCは、それぞれニューメキシコとニューヨークで登録され、暗号業界の無防備な開発者にマルウェアを配信する隠れ蓑として機能していた。

偽の企業、企業の隠れ蓑に隠された真の脅威

偽造されたIDと偽の住所を使って、攻撃者たちは米国に拠点を置く合法的な企業のように見せかけた。

サイレント・プッシュの研究者によれば、この作戦はラザロ社内の "伝染性インタビュー "と呼ばれるサブグループが主導したものだという。

このグループは、第3の偽会社Angeloper Agencyを設立し、米国では登録されていなかったが、同じマルウェア配布活動に関連していた。

特に憂慮すべきは、これらの事業体が単なるウェブサイトの外観ではなく、AIが生成した従業員プロファイルを使用して偽のチーム全体を構築し、捏造されたデータを使用して正式に法人化されていたことである。

ソースサイレント・プッシュ

メフメト・デミルはリンクトインで作られた偽の人物で、彼の職歴には2つのペーパーカンパニーが記載されている。(出典：サイレント・プッシュ）

就職面接のトラップを通じてマルウェアが拡散した方法

このキャンペーンは、詐欺的な面接戦術に大きく依存していた。

暗号分野で仕事を探していた開発者たちは、こうしたペーパーカンパニーから偽の仕事の依頼を受けていた。

接触が確立されると、マルウェアが仕事関連の資料を装って送りつけられた。

その目的は、暗号プラットフォームへの追跡攻撃を可能にするウォレットの認証情報と機密データを盗むことだった。

サイレント・プッシュは、`blocknovas[.]com`、`apply-blocknovas[.]site`、`lianxinxiao[.]com`などのドメインを操作にリンクしており、合法的なリクルートサイトを模倣するように設計された協調インフラのネットワークを示唆している。

ソースサイレント・プッシュ

ソースサイレント・プッシュ

10億ドルの結果を出したおなじみのプレイブック

この最新のキャンペーンは、過去に話題になった侵害事件で見られたパターンに合致している。

ラザロ・グループは、偽の雇用の誘いによって個人を標的にすることで知られている。

2021年、同様の戦略でスカイメイビスが侵入され、6億2500万ドルの浪人橋ハッキングが行われた。

2022年、別の仕事ベースのごまかしによって、ハーモニーのホライゾン・ブリッジから1億ドルが盗まれた。

国連とブロックチェーン分析会社Chainalysisの推計によると、2017年以来、ラザロと連携した活動は30億ドル以上の暗号通貨を盗んでいる。

このようなキャンペーンは、北朝鮮の国営サイバー部隊の常套手段となっている。

これらの企業はどのようにして発見されずに登録されたのか？

攻撃者は偽造された個人情報とディープフェイクスタイルのプロフィール画像を使い、企業を登録し、企業のウェブサイトを構築した。

サイレント・プッシュ社の脅威インテリジェンス・ディレクター、ケーシー・ベスト氏によると

"これは、北朝鮮のハッカーが、疑うことを知らない求職者を攻撃するための企業の隠れ蓑を作るために、実際に合法的な企業体を米国に設立することに成功した珍しい例である。"

この作戦の規模と野心は、北朝鮮のサイバー部隊が探知と規制当局の監視から逃れるために用いる進化した戦術を浮き彫りにしており、米国法人設立の信頼性を活用して世界中の暗号専門家の信頼を獲得している。