北朝鮮ITワーカーによる工作活動は、必ずしもマルウェアやエクスプロイト、明白な侵入から始まるわけではありません。
その活動は、正規の従業員アカウントや承認済みデバイス、あるいはすでにオンボーディングを終えた開発者から生まれることもあります。
セキュリティアナリストにとって、これは調査の前提を変えるものです。課題は単に悪意あるコードを見つけることではなく、一見普通に見える従業員の活動が、より大きな工作の一端であることをどの時点で見抜くかにあります。
ANY.RUN、Mauro Eldritch氏、Heiner García氏による共同調査により、Famous Chollima(著名なコリマ)の疑いがある工作活動の内部からしか得られない、貴重な兆候の数々が明らかになりました。
研究者たちは、北朝鮮の開発者と疑われる人物を実際に雇用し、ANY.RUN Sandboxで特別に構築した環境の中でその活動を観察しました。これにより、同様の事案を調査する際にアナリストが活用できる行動パターンとインフラの実態が明らかになりました。
研究者たちは、プロフェッショナルなウェブサイトやブランディング、ドキュメント、そして説得力のあるオンライン上の存在感を備えた偽のDeFiスタートアップ企業「Ballena Azul LTD」を作り上げました。
この企業が、工作の次の段階を観察するための管理された舞台となりました。北朝鮮の開発者と疑われる人物が実際に働き始めると、研究者たちは彼らが日々の業務で使用するツールやインフラ、作業の流れを詳細に記録することができました。
今回の調査では、リモートアクセスソフトウェア、システム偵察、AIを活用した作業フロー、共有された2FAサービス、暗号資産ウォレットの活動、それを支えるVPNおよびVPSインフラが明らかになり、この工作の背後にある活動パターンをアナリストがより明確に把握できるようになりました。
録音されたインタビュー、実際の工作員の活動、インフラに関する調査結果、そしてツールセットの詳細な内訳については、ANY.RUNブログの完全版調査記事をご覧ください。詳細を今すぐ確認
調査中、研究者たちは特別に構成したANY.RUN Sandbox環境を使用し、実際の企業システムを危険にさらすことなく工作員の活動を観察しました。
これにより、彼らが開いたファイル、起動したツール、ブラウザの操作、ネットワーク接続などの動作をリアルタイムで可視化することができました。
アナリストにとっても、従業員アカウント周辺で不審なファイルやリンク、スクリプト、ツールが見つかった際には、同様のアプローチが有効です。
サンドボックス内では、単一のアラートに頼るのではなく、プロセスの活動、外部への通信、リダイレクト、ドロップされたファイル、コマンドの実行、ブラウザの挙動といった各種指標を直接確認できます。
これにより、実務上重要な問いに答えやすくなります。そのアーティファクトは実際に何をしたのか。どのインフラと通信したのか。リモートアクセスツールを起動したのか。追加のファイルやプロセスを生成したのか、といった点です。
こうした追加の行動証拠があれば、アナリストはより迅速かつ確度の高い判断を下し、その事案をエスカレーションすべきか封じ込めるべきかを見極めやすくなります。
今回の調査では、工作員と疑われる人物が使用していた一連のVPSホスト、AstrillVPNの出口ノード、暗号資産ウォレットが明らかになりました。これらの指標は、環境全体で関連する活動を見つけ出すための出発点として活用できます。
これらの指標のいずれかが検出された場合は、その一致だけを結論とせず、周辺の活動にも目を向けてください。
どのユーザーやプロセスがその通信を行ったのか、その前後に何が起きたのか、そしてその近辺にリモートアクセスや偵察行為、不審なアカウント活動が見られないかを確認してください。
ANY.RUN Threat Intelligence Lookupを使えば、アナリストは不審な指標を起点に関連するサンドボックスセッションや脅威コンテキストを参照でき、単一の通信がより広範なパターンを示しているかどうかを把握する助けになります。
不審なインフラや行動が確認された後は、その調査結果を一つの事案の中に留めておくべきではありません。
今回の工作で明らかになったIPアドレス、VPNエンドポイント、VPSホストなどの指標は、既存の検知ワークフローに組み込むことで、同様の活動が再び現れた際に発見しやすくなります。
ANY.RUN Threat Intelligence Feedsは、実際の調査から得られた最新の指標をSIEMやEDRなどのセキュリティツールに継続的に提供し、チームが今回の事案で判明した指標にとどまらず、カバー範囲を広げられるよう支援します。
これにより、関連するインフラをより早期に発見でき、同じ調査をゼロからやり直す手間を省くことができます。
北朝鮮のリモートワーカーによる活動は、正規のアクセス権限やありふれた開発ツールから始まり、個々に見れば正常に見える行動が多いため、見抜くのが難しいという特徴があります。
その優位性は、不審なファイルやツール、リモートアクセスの活動、不自然なインフラ、アカウントの挙動、既知のIOCといった兆候を早い段階で結びつけられるかどうかにかかっています。
チームがこうした手がかりを迅速に検証し、それらがどのようにつながっているかを理解できればできるほど、悪意ある内部関係者がソースコードやクラウド環境、金融資産、その他の重要システムに到達するまでの猶予は短くなります。
セキュリティチームに、不審な活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査体制を強化する
翻訳元: https://cyberpress.org/how-to-hunt-dprk-it-worker-activity-behavioral-clues-infrastructure-and-iocs/
