ラザログループ

ラザルスグループ（別名：Guardians of PeaceまたはWhois Team ^{[1] [2] [3]}）は、人数不詳のハッカー集団で、北朝鮮政府が運営しているとされる。ラザルスグループについてはあまり知られていないが、研究者らは2010年以降、多くのサイバー攻撃をこの集団によるものとしている。もともと犯罪集団であったこの集団は、意図的な性質、脅威、および作戦遂行時に用いられる幅広い手法により、現在では高度で持続的な脅威に指定されている。サイバーセキュリティ組織が付けた名前には、 Hidden Cobra （米国国土安全保障省が北朝鮮政府による悪意のあるサイバー活動全般を指すために使用） ^{[4] [5]}やZINCまたはDiamond Sleet ^[6]（Microsoft）などがある。^{[7] [8] [9]}脱北者のキム・ククソンによると、この部隊は北朝鮮国内では414連絡事務所として知られている。^[10]

ラザルスグループは北朝鮮と強いつながりがある。^{[11] [12]}米国司法省は、このグループが「世界的なサイバーセキュリティを弱体化させ、制裁に違反して不法な収益を生み出す」という北朝鮮政府の戦略の一部であると主張している。^[13]北朝鮮は、特に韓国に対して、少数のオペレーターグループで非対称の脅威を与えることができるため、サイバー作戦を行うことで利益を得ている。 ^[14]

このグループが関与した最も古い攻撃は「オペレーション・トロイ」として知られ、2009年から2012年にかけて行われた。これは、ソウルの韓国政府を標的とした、単純な分散型サービス拒否攻撃（DDoS）技術を利用したサイバースパイ活動だった。彼らは2011年と2013年の攻撃にも関与していた。2007年に韓国を標的とした攻撃にも関与していた可能性があるが、まだ定かではない。^[15]このグループが知られている注目すべき攻撃は、2014年のソニー・ピクチャーズへの攻撃である。ソニーへの攻撃ではより洗練された技術が使用され、グループが時間の経過とともにいかに進歩してきたかを浮き彫りにした。

ラザルスグループは2015年にエクアドルのバンコ・デル・アウストロから1200万ドル、ベトナムのティエンフォン銀行から100万ドルを盗んだと報じられている。 ^[16] また、ポーランドとメキシコの銀行も標的にしている。^[17] 2016年の銀行強盗 [ ^18]にはバングラデシュ銀行への攻撃が含まれており、8100万ドルを盗むことに成功し、このグループによるものとされた。2017年には、ラザルスグループは台湾のファーイースタン国際銀行から6000万ドルを盗んだと報じられたが、実際の盗難額は不明であり、資金の大半は回収された。^[17]

このグループの背後に誰がいるのかは明らかではないが、メディアの報道によると、このグループは北朝鮮とつながりがあるとされている。^{[19] [20] [17]} カスペルスキー研究所は2017年に、ラザルスはスパイ活動や侵入型のサイバー攻撃に集中する傾向があるのに対し、組織内のサブグループであるカスペルスキーがブルーノロフと呼ぶグループは金融サイバー攻撃を専門としていると報告した。カスペル​​スキーは世界中で複数の攻撃を発見し、ブルーノロフと北朝鮮の間に直接的なつながり（ IPアドレス）があることを発見した。 ^[21]

しかし、カスペルスキー社は、世界的なWannaCryワームによるサイバー攻撃もNSAの技術を模倣していたことを踏まえ、コードの繰り返しは捜査官を欺き、北朝鮮に攻撃を仕組むための「偽旗作戦」である可能性もあると認めた。このランサムウェアは、Shadow Brokersと呼ばれるハッカー集団が2017年4月に公開した EternalBlueと呼ばれるNSAのエクスプロイトを利用している。 ^[22]シマンテック社は2017年に、WannaCry攻撃の背後にLazarusがいる可能性が「非常に高い」と報告した。^[23]

Lazarus Group の最初の大規模なハッキング事件は 2009 年 7 月 4 日に発生し、「Operation Troy」の始まりとなりました。この攻撃では、Mydoomおよび Dozer マルウェアが使用され、米国および韓国の Web サイトに対して大規模かつ非常に単純な DDoS 攻撃が行われました。一連の攻撃により、約 30 の Web サイトが攻撃を受け、マスター ブート レコード(MBR)に「独立記念日の記憶」というテキストが記録されました。

時が経つにつれ、このグループによる攻撃はより洗練され、その技術とツールはより発達し、より効果的になった。2011年3月の「Ten Days of Rain」として知られる攻撃は、韓国のメディア、金融、および重要インフラを標的とし、韓国国内の侵入されたコンピュータから発信されたより洗練されたDDoS攻撃で構成されていた。攻撃は2013年3月20日にも続き、DarkSeoulというワイパー攻撃が韓国の放送会社3社、金融機関、およびISPを標的とした。当時、「NewRomanic Cyber​​ Army Team」および「WhoIs Team」というペルソナを名乗る2つのグループがこの攻撃の責任を負っていたが、研究者は当時、ラザルスグループが背後にいることを知らなかった。今日、研究者はラザルスグループが破壊的な攻撃の背後にいるスーパーグループであることを認識している。^[24]

ラザルス・グループの攻撃は2014年11月24日に最高潮に達した。その日、Redditにソニー・ピクチャーズが未知の手段で ハッキングされたという投稿が投稿された。犯人は「平和の守護者」を名乗っていた。大量のデータが盗まれ、攻撃後の数日間で徐々に流出した。グループの一員であると主張する人物へのインタビューでは、彼らは1年以上にわたってソニーのデータを盗み出していたと述べられていた。^[25]

ハッカーたちは、これまで公開されていなかった映画、特定の映画の脚本、将来の映画の計画、会社の幹部の給与に関する情報、電子メール、約4,000人の従業員の個人情報にアクセスすることができました。^[26]

ノヴェッタ率いるセキュリティ企業連合は「オペレーション・ブロックバスター」の名の下、^{[27] [28]、}さまざまなサイバーセキュリティ事件で見つかったマルウェアサンプルを分析することができた。そのデータを使用して、チームはハッカーが使用した手法を分析することができた。彼らは、コードの再利用パターンを通じて、ラザルスグループをいくつかの攻撃に結び付けた。^[29]

バングラデシュ銀行サイバー強盗事件は、2016年2月に発生した窃盗事件である。セキュリティハッカーがSWIFTネットワーク経由で35件の不正な指示を発行し、バングラデシュの中央銀行であるバングラデシュ銀行のニューヨーク連邦準備銀行の口座から10億ドル近くを違法に送金した。35件の不正な指示のうち5件で1億100万ドルの送金に成功し、2000万ドルはスリランカ、8100万ドルはフィリピンに送金された。ニューヨーク連邦準備銀行は、指示のスペルミスによる疑いで、残りの30件、総額8億5000万ドルの取引をブロックした。^{[30] [31]}サイバーセキュリティの専門家は、北朝鮮を拠点とするラザルス・グループが攻撃の背後にいると主張した。^{[32] [33]}

WannaCry攻撃は、 2017年5月12日、英国のNHSからボーイング、さらには中国の大学に至るまで、世界中の機関を襲った大規模なランサムウェアのサイバー攻撃でした。攻撃は7時間19分続きました。ユーロポールは、ロシア、インド、ウクライナ、台湾を中心に150か国近くのコンピュータ20万台が影響を受けたと推定しています。これは、クリプトワームによる最初の攻撃の1つでした。クリプトワームは、ネットワークを使用してコンピュータ間を移動するマルウェアの一種で、感染にはユーザーの直接的な操作は必要ありません。この場合は、TCPポート445を悪用します。^[34] 感染するために、不正なリンクをクリックする必要はありません。マルウェアは、コンピュータから接続されているプリンターに自律的に広がり、さらにWi-Fiなどに接続されている隣接するコンピュータに広がります。ポート445の脆弱性により、マルウェアはイントラネット間を自由に移動し、数千台のコンピュータを急速に感染させることができました。 WannaCry攻撃は、クリプトワームが初めて大規模に使用された攻撃の一つでした。^{[35] [36]}

このウイルスは、Windows オペレーティング システムの脆弱性を悪用し、キーを取得するために約 300 ドル相当のビットコインを要求する代わりに、コンピューターのデータを暗号化しました。身代金の支払いを促すため、身代金の要求額は 3 日後に 2 倍になり、1 週間以内に支払われない場合、マルウェアは暗号化されたデータ ファイルを削除します。マルウェアは、ファイルを暗号化するために、Microsoft が作成した Windows Crypto という正規のソフトウェアを使用しました。暗号化が完了すると、ファイル名に「Wincry」が追加されます。これが Wannacry の名前の由来です。Wincry は暗号化のベースでしたが、マルウェアはEternalBlueとDoublePulsar という2 つの追加エクスプロイトを使用して、それをクリプトワームにしました。EternalBlueはネットワークを通じてウイルスを自動的に拡散し、DoublePulsar は被害者のコンピューターでウイルスをアクティブ化するようにトリガーしました。言い換えると、EternalBlue は感染したリンクをコンピューターに取得し、DoublePulsar がそれをクリックしたのです。^[36]

セキュリティ研究者のマーカス・ハッチンズ氏は、セキュリティ研究会社の友人からウイルスのコピーを受け取り、ウイルスにハードコードされたキルスイッチを発見し、攻撃を終わらせた。このマルウェアには、特定のドメイン名が登録されているかどうかを定期的にチェックする機能があり、そのドメイン名が存在しない場合のみ暗号化を進めていた。ハッチンズ氏はこのチェックを特定し、午後3時3分（UTC）に関連ドメインを速やかに登録した。マルウェアは直ちに増殖を停止し、新しいマシンへの感染も停止した。これは非常に興味深いことであり、誰がウイルスを作成したかの手がかりとなる。通常、マルウェアの阻止にはハッカーとセキュリティ専門家の間で何ヶ月もの攻防戦が必要となるため、この楽勝は予想外だった。この攻撃のもう1つの非常に興味深く珍しい点は、身代金を支払った後でもファイルを復元できなかったことだ。集まったのはわずか16万ドルで、ハッカーは金銭を狙っていたのではないと多くの人が考えるようになった。^[36]

簡単にキルスイッチが切れることと収益がないことなどから、多くの人がこの攻撃は国家の支援によるものだと信じるに至った。動機は金銭的な補償ではなく、単に混乱を引き起こすことだった。攻撃後、セキュリティ専門家はDoublePulsarエクスプロイトを米国のNSAがサイバー兵器として開発していたことにまで遡った。このエクスプロイトはその後、Shadow Brokersハッカー集団に盗まれ、最初はオークションにかけようとしたが失敗したため、ただで譲り渡した。^[36]その後、NSAはマイクロソフトに脆弱性を明らかにし、マイクロソフトは攻撃が発生する1か月弱前の2017年3月14日にアップデートをリリースした。しかし、それだけでは十分ではなかった。アップデートは必須ではなく、脆弱性のあるコンピュータの大部分は5月12日になっても問題を解決していなかったため、攻撃が驚くほど効果的になったのである。

米国司法省と英国当局は後に、WannaCry攻撃は北朝鮮のハッカー集団「ラザルス」によるものだと結論付けた。^[13]

2018年、Recorded Futureは、主に韓国の暗号通貨ビットコインとモネロのユーザーへの攻撃にラザルスグループが関与しているとの報告書を発表しました。 ^[37]これらの攻撃は、WannaCryランサムウェアを使用した以前の攻撃やソニー・ピクチャーズへの攻撃と技術的に類似していると報告されています。 ^[38]ラザルスのハッカーが使用した戦術の1つは、韓国のワードプロセッサソフトウェアであるハンコムのハングルの脆弱性を悪用することだった。 ^{[38]もう1つの戦術は、韓国の学生やコインリンクなどの暗号通貨取引所のユーザーに送られた、マルウェアを含む}スピアフィッシングのルアーを使用することでした。ユーザーがマルウェアを開くと、メールアドレスとパスワードが盗まれました。 ^[39]コインリンクは、自社のサイトやユーザーのメールアドレスとパスワードがハッキングされたことを否定しました。^[39]報告書は、「2017年後半のこのキャンペーンは、北朝鮮の暗号通貨への関心の継続であり、現在では、マイニング、ランサムウェア、完全な盗難など、幅広い活動を網羅していることが分かっている」と結論付けている。 ^[37]また、報告書は、北朝鮮が国際的な金融制裁を回避するためにこれらの暗号通貨攻撃を利用していると述べた。^[40]

北朝鮮のハッカーは2017年2月に韓国の取引所Bithumbから700万ドルを盗んだ。^[41]韓国の別のビットコイン取引所Youbitは、2017年4月の攻撃に続いてサイバー攻撃により資産の17％が盗まれた後、2017年12月に破産を申請した。 ^[42]ラザルスと北朝鮮のハッカーが攻撃の責任を負わされた。^{[43] [37]暗号通貨クラウドマイニングマーケットプレイスの} Nicehashは、2017年12月に4,500ビットコイン以上を失った。捜査の最新情報によると、攻撃はラザルスグループに関連しているとのことである。^[44]

2019年9月中旬、米国はElectricFishと呼ばれるマルウェアの新バージョンに関する警告を発した。^{[45] 2019年初頭以来、北朝鮮の工作員は世界中で5件の大規模なサイバー窃盗を試みており、その中には}クウェートの機関から4,900万ドルを盗むという成功例も含まれている。^[45]

COVID-19パンデミックが続いているため、製薬会社はラザルスグループの主な標的となった。ラザルスグループのメンバーはスピアフィッシングの手法を用いて保健当局者を装い、製薬会社の従業員に悪意のあるリンクで連絡を取った。複数の大手製薬組織が標的になったと考えられているが、確認されているのは英スウェーデン資本のアストラゼネカのみである。ロイターの報道によると^[46] 、 COVID-19ワクチン研究に携わる多くの従業員を含む幅広い従業員が標的にされたという。ラザルスグループのこれらの攻撃の目的は不明であるが、可能性のあるものとしては以下のものがある。

• 機密情報を盗み、利益のために販売する。
• 恐喝計画。
• 外国政府に独自のCOVID-19研究へのアクセスを与える。

アストラゼネカ社はこの事件についてコメントしておらず、専門家らは現時点では機密データが漏洩したとは考えていない。^{[時点? ]}

2021年1月、グーグルとマイクロソフトは、北朝鮮のハッカー集団がソーシャルエンジニアリングキャンペーンを通じてサイバーセキュリティ研究者を標的にしていたことを公表し、マイクロソフトは特にこのキャンペーンをラザルスグループによるものとした。^{[47] [48] [49]}

ハッカーらは、 Twitter、GitHub、LinkedInに正当なソフトウェア脆弱性研究者を装った複数のユーザープロフィールを作成し、それらのプロフィールを使用してセキュリティ研究コミュニティの他のユーザーの投稿やコンテンツとやり取りした。その後、ハッカーらは特定のセキュリティ研究者に直接連絡を取り、研究協力を申し出て、被害者にマルウェアを含むファイルをダウンロードさせたり、ハッカーらが管理するウェブサイトのブログ投稿を閲覧させたりすることを狙った。^[49]

ブログ投稿を訪れた被害者の中には、Google Chromeブラウザの完全パッチ版を使用していたにもかかわらずコンピュータが侵害されたと報告した人もおり、ハッカーがChromeに影響を与えるこれまで知られていなかったゼロデイ脆弱性を攻撃に利用した可能性があることを示唆している。 ^[47]しかし、Googleは報告時点では侵害の正確な方法を確認できなかったと述べている。^[48]

2022年3月、ラザルスグループは、 Axie Infinityゲームで使用されるブリッジであるRoninネットワークから6億2000万ドル相当の暗号通貨を盗んだことが判明しました。 ^[50] FBIは、「調査を通じて、ラザルスグループと[北朝鮮]に関連するサイバーアクターであるAPT38が盗難に関与していることを確認できました」と述べました。^[51]

FBIは、2022年6月24日に報じられたハーモニーのホライゾンブリッジからの1億ドル相当の仮想通貨の盗難事件は、北朝鮮の悪質なサイバー攻撃グループ「ラザルス」（別名APT38）によるものであることを確認した。^[52]

ブロックチェーンセキュリティプラットフォームImmunefiが発表した報告書によると、Lazarusは2023年の仮想通貨ハッキング事件で3億ドル以上の損失を引き起こしたとされている。この金額は年間総損失の17.6％を占める。^[50]

2023年6月には、Atomic Walletサービスのユーザーから1億ドル以上の暗号通貨が盗まれました^[53]。これは後にFBIによって確認されました。^[54]

2023年9月、FBIはオンラインカジノおよび賭博プラットフォームであるStake.comから4100万ドル相当の暗号通貨を盗んだのはラザルス・グループであることを確認した。^[55]

2022年4月14日、米国財務省OFACは北朝鮮制裁規則第510.214条に基づきラザラスをSDNリストに掲載した。 ^[56]

インドのメディア報道によると、 WazirXという地元の暗号通貨取引所がこのグループにハッキングされ、2億3,490万ドル相当の暗号資産が盗まれたとのことだ。^[57]

北朝鮮のハッカーは、職業訓練のために中国の瀋陽に派遣され、コンピューター、コンピューターネットワーク、サーバーにあらゆる種類のマルウェアを仕掛ける訓練を受ける。国内の教育機関としては、金策工科大学、金日成総合大学、牡丹峰大学などがあり、全国から最も優秀な学生を選抜し、6年間の特別教育を受けさせる。^{[10] [58]}

ラザロには2つのユニットがあると考えられています。^{[59] [60]}

BlueNorOff（別名：APT38、Stardust Chollima、BeagleBoyz、NICKEL GLADSTONE ^{[61] ）は、} SWIFTからの偽造注文を通じて違法な送金を行う金銭目的のグループです。BlueNorOffは、 APT38（Mandiant）やStardust Chollima（Crowdstrike ）とも呼ばれています。^{[62] [63]}

米軍の2020年の報告書によると、ブルーノロフには約1,700人のメンバーがおり、長期的な評価に集中して敵のネットワークの脆弱性やシステムを悪用し、政権の金銭的利益を得たり、システムを掌握したりすることで、金融サイバー犯罪を行っている。^[64]彼らは金融機関や暗号通貨取引所を標的にしており、2014年から2021年の間に少なくとも13か国^[a]の16以上の組織を対象としている：バングラデシュ、チリ、インド、メキシコ、パキスタン、フィリピン、韓国、台湾、トルコ、ベトナム。収益はミサイルや核技術の開発に充てられると考えられている。^{[61] [60]}

ブルーノオフの最も悪名高い攻撃は、2016年のバングラデシュ銀行強盗事件で、バングラデシュの中央銀行であるバングラデシュ銀行のニューヨーク連邦準備銀行の口座からSWIFTネットワークを利用して10億ドル近くを違法に送金しようとした。いくつかの取引が成立した後（2000万ドルはスリランカ、8100万ドルはフィリピンに追跡された）、ニューヨーク連邦準備銀行はスペルミスによる疑いで残りの取引をブロックした。^[60]

BlueNorOffに関連するマルウェアには、「DarkComet、Mimikatz、Nestegg、Macktruck、WannaCry、Whiteout、Quickcafe、Rawhide、Smoothride、TightVNC、Sorrybrute、Keylime、Snapshot、Mapmaker、net.exe、sysmon、Bootwreck、Cleantoad、Closeshave、Dyepack、Hermes、Twopence、Electricfish、Powerratankba、Powerspritz」などがあります^。[61]

BlueNorOffが一般的に使用する戦術には、フィッシング、バックドア、^[60]ドライブバイ攻撃、ウォーターホール攻撃、 Apache Struts 2の安全でない古いバージョンを悪用してシステム上でコードを実行する、戦略的なWeb侵害、Linuxサーバーへのアクセスなどがあります。^[61]彼らは犯罪ハッカーと協力することもあると報告されています。^[65]

AndAriel（Andarielとも綴られ、^[64]、Silent Chollima、Dark Seoul、Rifle、Wassonite ^[61]としても知られる）は、そのロジスティックスの特徴として、韓国をターゲットにしていることが挙げられる。AndArielの別名は、サブグループのステルス性からSilent Chollimaと呼ばれている。 ^[66]韓国のあらゆる組織はAndArielの攻撃を受けやすい。ターゲットには、政府、防衛、あらゆる経済シンボルが含まれる。^{[67] [68]}

米軍の2020年の報告書によると、Andarialには約1,600人のメンバーがおり、その任務は偵察、ネットワークの脆弱性の評価、潜在的な攻撃のための敵ネットワークのマッピングです。^[64]韓国に加えて、他の政府、インフラ、企業も標的にされています。攻撃ベクトルには、ActiveX、韓国のソフトウェアの脆弱性、ウォーターホール攻撃、スピアフィッシング（マクロ）、IT管理製品（ウイルス対策、PMS）、サプライチェーン（インストーラーとアップデーター）などがあります。使用されるマルウェアには、Aryan、Gh0st RAT、Rifdoor、Phandoor、Andaratなどがあります。^[61]

2021年2月、米国司法省は、北朝鮮の軍事情報機関である偵察総局のパク・ジンヒョク、ジョン・チャンヒョク、キム・イル・パクの3人を、ラザルスのハッキング活動に関与したとして起訴した。ジンヒョクは2018年9月にすでに起訴されていた。3人は米国の拘留下にはない。カナダ人1人と中国人2人も、ラザルス・グループのマネーミュールおよびマネーロンダリングの容疑で起訴されている。^{[69] [70]}

• 局121
• キムスキー
• 北朝鮮とアメリカの関係
• パク・ジンヒョク
• リコシェ・チョリマ

• ウイルスニュース (2016)。「カスペルスキー ラボ、複数の壊滅的なサイバー攻撃を仕掛けた Lazarus グループの活動阻止に協力」、カスペルスキー ラボ。
• RBS (2014)。「2014 年 12 月の Sony ハッキングの詳細と分析」。RiskBased Security。
• キャメロン、デル (2016)。「セキュリティ研究者によると、謎の「ラザルス グループ」が 2014 年にソニーをハッキングした」、The Daily Dot。
• ゼッター、キム (2014)。「ソニーがハッキング被害に遭う: これまでにわかっていることとわかっていないこと」、Wired。
• ゼッター、キム (2016)。「ソニーのハッカーたちは同社を攻撃する何年も前から大混乱を引き起こしていた」、Wired。

• パク・ジンヒョクに対する起訴状、2018年9月
• パク・ジンヒョク、ジョン・チャンヒョク、キム・イルの起訴状、2020年1月
• BBC ワールド サービスの「ラザロ強盗」 10 部構成のポッドキャスト。