公開されている情報

Lazarusによる関与を推測する上で重要な役割を果たしたドメインが、journalide[.]orgです。このドメインは、上記でリンクしたベンダーレポートの一部に記載されているものの、このドメインの存在に関する説明は一切ありません。興味深いのは、SentinelOneとObjectiveSeeの記事では、このドメインについての言及がないことです。Volexityのブログも、このドメインについて触れていないだけではなく、「Volexityは、現在公開されているアクティビティから関与したサイバー攻撃者を特定することはできない」と述べており、この攻撃の帰属に関する見解を示していません。Volexityのアナリストは、この攻撃の詳細をいち早く調査しており、GitHubにある暗号化されたアイコンからC&Cサーバーリストを抽出するツールを作成しています。攻撃の中間段階でC&Cサーバーを直接埋め込むのではなく、GitHubをデッドドロップリゾルバとして使用していたために、このツールは優れた効果を発揮します。この中間段階では、WindowsとmacOS用のダウンローダーが使用されています。ESETは、このダウンローダーをIconicLoaderと、また、Windows向けのペイロードとMac向けのペイロードをそれぞれIconicStealerおよびUpdateAgentと名付けました。

3月30日に、Elastic Securityのセキュリティ研究者であるJoe Desimone氏は、Twitterのスレッドで、3CXのセキュリティ侵害がLazarusと関連していることを示す重要な手がかりをいち早く提供しています。同氏は、d3dcompiler_47.dllのペイロードの前に追加されていたシェルコードスタブが、2021年4月にアメリカ合衆国サイバーセキュリティ・社会基盤安全保障庁（CISA）によってLazarusの関与が特定されたAppleJeusローダーのスタブに酷似していることを発見しました。

3月31日に、3CXがサプライチェーン攻撃に対するインシデント対応サービスをMandiantに依頼したことが報じられました。

4月3日にKasperskyは同社のテレメトリから、3CXのサプライチェーンの被害者とGopuramと名付けられたバックドアの展開に直接的な関係があることを示し、どちらもguard64.dllという同じ名前のペイロードが関与していることを明らかにしました。Kasperskyのデータから、GopuramはLazarusによる関与が明らかになっているマルウェアであるAppleJeusと一緒に被害者のマシンで見つかっていることから、GopuramにもLazarusが関係していることは明白です。GopuramとAppleJeusの両方ともに、暗号通貨会社に対する攻撃で観測されています。

そして4月11日に、3CXの最高情報セキュリティ責任者（CISO）がMandiantによる中間調査の結果の概要をブログで公開しました。この報告書によると、3CXの侵害には、TAXHAULと呼ばれるシェルコードローダーとCOLDCATという複雑なダウンローダーの2つのWindowsマルウェアの検体が使用されています。ハッシュは提供されませんでしたが、TAXHAULと命名されたMandiantのYARAルールは、VirusTotalに既に存在している他の検体も判別します。

• SHA-1：2ACC6F1D4656978F4D503929B8C804530D7E7CF6（ualapi.dll）
• SHA-1：DCEF83D8EE080B54DC54759C59F955E73D67AA65（wlbsctrl.dll）

これらの検体のファイル名（MD5ではない）は、Kasperskyのブログで言及されているファイル名と一致します。しかし、3CXは、COLDCATはGopuramとは異なると述べています。

次のセクションでは、Lazarusの新しい悪意のあるLinuxペイロードの技術面について分析した結果について解説し、その結果が3CXのセキュリティ侵害へのLazarusの関与を裏付けるためにどのように役立ったかを説明します。

サイバー攻撃グループLazarusによるDreamJob作戦は、LinkedInを介して標的の人物に近づき、業界を代表する企業による偽の採用情報によって誘惑します。DreamJob（夢の仕事）という造語は、ClearSkyが2020年8月に発表したホワイトペーパーで使用したものです。このホワイトペーパーでは、航空宇宙・防衛産業の企業を標的としたLazarusによるサイバースパイキャンペーンについて説明しています。この活動は、少なくとも 2019年9月から続いている一連のサイバースパイ攻撃であり、ESETが「Operation In(ter)ception：イン(ター)セプション作戦」と命名した攻撃と一致しています。航空宇宙、軍事、防衛関連の企業を標的とし、当初はWindowsマシンのみを攻撃する悪意のあるツールを使用していました。2022年の7月から8月にかけて、ESETはmacOSを標的としたイン(ター)セプション作戦を2件確認しています。1つのマルウェアの検体はブラジルからVirusTotalに提出されており、別の攻撃はアルゼンチンのESETユーザーを標的としていました。数週間前には、香港上海銀行（HSBC）に関連するPDFによって標的の関心を引こうととするLinuxネイティブのペイロードがVirusTotalで発見されました。これにより、Lazarusは、主要なデスクトップOSのすべて対象とするペイロードを完成させたことになります。

3月20日、ジョージアのユーザーがVirusTotalにHSBC job offer.pdf.zipというZIPアーカイブを提出しました。Lazarusがこれまでに実施した他のDreamJob作戦から推測すると、このペイロードはおそらくスピアフィッシングやLinkedInのダイレクトメッセージを通じて配信されたと考えられます。このアーカイブには、Go言語で記述された64ビットのネイティブIntel LinuxバイナリでありHSBC job offer․pdfという名前のファイルが1つ含まれています。

注意が必要なのは、ファイルの拡張子が.pdfではないことです。ファイル名でドットのように見える文字は、U+2024ユニコード文字で表されるリーダー記号です。ファイル名にリーダー記号が使用されているのは、ファイルマネージャーを騙して、PDFではなく実行ファイルとして処理させるためだと考えられます。これによって、ファイルをダブルクリックすると、PDFビューアではファイルが開かず、そのまま実行されます。このファイルを実行すると、おとりのPDFがxdg-openコマンドを使用してユーザーに表示されます。このコマンドは、ユーザーがデフォルトに指定しているPDFビューアでPDFファイルを開きます（図3を参照）。このELFダウンローダーは、他のプラットフォームにおけるIconicLoaderと同じ役割があり、ペイロードがOpenDriveから取得されることから、OdicLoaderと命名することにしました。

OdicLoaderは、おとりのPDF文書をドロップし、システムのデフォルトのPDFビューア（図3を参照）を使用して表示し、その後、OpenDriveクラウドサービスからセカンドステージのバックドアをダウンロードします。ダウンロードされたファイルは、~/.config/guiconfigdに保存されます。（SHA-1：0CA1723AFE261CD85B05C9EF424FC50290DCE7DF）。ESETは、このセカンドステージのバックドアをSimplexTeaと命名しました。

実行の最後のステップとして、OdicLoaderは、SimplexTeaがBashで起動され、その出力がミュートされるように、~/.bash_profileを変更します（~/.config/guiconfigd >/dev/null 2>&1）。

sysnetdとLazarusとの関係性次のセクションでは、LazarusがWindowsバックドアとして使用しているBADCALLとの類似点について説明します。

Linuxマシン向けのBADCALL

ESETは、以下に示す2つのファイルの類似性から、sysnetdの開発にLazarusが関与しており、sysnetdは、BADCALLと呼ばれるWindows向けのバックドアのLinux版であると考えています。

• P2P_DLL.dll（SHA-1：65122E5129FC74D6B5EBAFCC3376ABAE0145BC14）が偽のTLS接続の隠れ蓑として使用されるドメインの形式はsysnetdのコードと類似しています（図4を参照）。P2P_DLL.dllは、2017年12月にCISAによってLazarusとの関連が特定されています。CISAは、2019年9月から、このマルウェアの新しいバージョンをBADCALLと呼んでいます（SHA-1：D288766FA268BC2534F85FD06A5D52264E646C47）。

• prtspool（SHA-1：58B0516D28BD7218B1908FB266B8FE7582E22A5F）は、sysnetdとコードが酷似しています（図5を参照）。prtspoolは、2021年2月にCISAによってLazarusとの関連が特定されています。なお、3CXのインシデント対応で発見されたmacOSバックドア「SIMPLESEA」は、A5/1ストリーム暗号を実装しています。

独自に実装されたA5/1暗号キーである0xC2B45678、0x90ABCDEF、0xFE268455という3つの32ビットの整数を見てみると（図5を参照）、同じアルゴリズムと同じキーが、2014年末に利用され、Lazarusが引き起こした最も重大なインシデントの1つであるSony Pictures Entertainmentへのサイバー攻撃に関連するWindowsマルウェアで使用されています（SHA-1：1C66E67A8531E3FF1C64AE57E6EDFDE7BEF2352D）。

2. インフラストラクチャ：

1. SimplexTeaは、C&Cとして 公式の結果でも報告されており、ネットワークインフラを共有していることがわかります。

3CXのセキュリティ侵害は、3月29日に公開されてから、セキュリティコミュニティで多くの注目を浴びています。侵害された3CXのソフトウェアは、あらゆる種類のペイロードのダウンロードと実行を可能にするため非常に危険です。また、3CXのソフトウェアは、各種のITインフラに展開されていることから、壊滅的な影響を受ける恐れもあります。残念ながら、3CXだけではなく、あらゆるソフトウェアメーカーが、トロイの木馬に感染し、意図せずに不正なアプリケーションバージョンを配信する可能性があります。

サプライチェーン攻撃は秘密裏に進行することから、攻撃者にとって、このような方法でマルウェアを配信することは非常に魅力的で効果的な手段となっています。Lazarusは過去にも同じ手法を取り入れており、2020年にはWIZVERA社のVeraPortソフトウェアを使用する韓国ユーザーを標的にしています。Lazarusが使用しているツールセットに含まれる既存のマルウェアと類似していることや、同グループの典型的な手法から、今回の3CXの侵害にLazarusが関与していることに疑いの余地はありません。

また、Lazarusは、Windows、macOS、Linuxの主なデスクトップOSを攻撃するマルウェアを開発して使用していることにも注意が必要です。3CXのインシデントでは、WindowsとmacOSの両方のシステムが標的となり、両方のOSに対応する3CXのVoIPソフトウェアがトロイの木馬化され、任意のペイロードを取得する悪意のあるコードが含まれていました。3CXのケースでは、WindowsとmacOS向けの両方のセカンドステージマルウェアが存在します。本ブログでは、3CXのインシデントで確認されているmacOS向けのマルウェアであるSIMPLESEAに相当するLinuxバックドアについて説明しました。ESETは、このLinuxコンポーネントをSimplexTeaと命名しました。また、これが、求人情報によって警戒心の薄い被害者の関心を引き付けて、セキュリティを侵害する北朝鮮のサイバー攻撃グループ「Lazarus」による代表的なキャンペーンであるDreamJob作戦の一環であることを説明しました。

ファイル