北朝鮮のラザルス、6つの異なるサイバークラスターで活動

北朝鮮のラザルスという総称の傘下は、実際には6つの異なるサイバークラスターとして活動していることが、同国の攻撃的サイバー能力に関する新たな分析で明らかになりました。

SekoiaとKudelski Securityによると、この組織構造は、諜報活動・金銭獲得・制裁回避に特化した部隊にサイバー作戦を分散させようとする北朝鮮の広範な取り組みを反映しているといいます。

9月7日に公開されたこの調査では、旧来のラザルスという総称を、TEMP.Hermit、Citrine Sleet、CryptoCore、Jade Sleet、Moonstone Sleet、そしてFamous Chollimaの6つに分類しています。

ラザルスの傘下は6つのクラスターに分割

研究者らによると、北朝鮮のサイバー部隊は再編と改称を繰り返しており、これが攻撃の帰属特定を複雑にし、同国のサイバー組織構造の把握を困難にしているといいます。調査対象となった脅威アクターの大半は、旧称RGBとして知られていた北朝鮮の主要な軍事情報機関、GRIBの傘下にあります。

SekoiaとKudelski Securityは、今回のクラスター分類が各グループの戦術・技術・手順(TTP)および実施している作戦の種類に基づいていると説明しています。Famous Chollimaは、偽装ITワーカーに関連する活動によって他と区別され、研究者らはこの活動がしばしば他のサイバー部隊の目的を支援していると指摘しています。

6つのクラスターのうち、Moonstone Sleetはサイバー諜報活動と金銭目的の作戦を組み合わせており、独自のカスタムマルウェアに加えて、ランサムウェア・アズ・ア・サービス(RaaS)プラットフォームのQilinも利用しています。研究者らによると、北朝鮮に紐づく別のクラスターであるAndarielも、これと同様の二重の役割を担うパターンに従っているといいます。

北朝鮮のサイバー作戦に関する関連記事: ラザルスグループ、新たなデータ窃取キャンペーンで開発者を標的に

研究者らはまた、旧APT38クラスターがCryptoCoreとJade Sleetに分裂した可能性が高いとも述べており、これらは現在、暗号資産・Web3・ブロックチェーン関連組織を狙った金銭目的のキャンペーンに注力しているとしています。

ITワーカーがサイバー作戦の範囲を拡大

同報告書によると、北朝鮮のサイバー能力には、APTクラスターに加えて、偽の身元で活動する数千人規模のITワーカーも含まれているといいます。

SekoiaとKudelski Securityによると、これらのワーカーは政権のために収益を生み出す一方で、正規の雇用を通じて組織へのアクセス権を獲得していました。一部のケースでは、ワーカーが社内の内部文書を照会したり、リモートコンサルティング業務で得たアクセス権を利用してさらなる活動を行ったりしていたといいます。

同報告書は別途、偽装ITワーカーを、Munchablesプロトコルから6250万ドルを不正に奪った事例を含む、暗号資産の直接窃取にも関連付けています。さらに、このITワーカー計画は金銭的目的と作戦上の目的の両方に資するものであったと付け加えています。給与は制裁回避を助けるために北朝鮮へ送金される一方、雇用を通じて得たアクセス権は金銭窃取や諜報活動の支援にも利用され得るためです。

より広範なエコシステムには、中国・ロシア・東南アジア・アフリカなどに拠点を置くフロント企業、教育機関、第三国のインフラも含まれていました。これらのネットワークは、作戦上の隠れ蓑、アクセス手段、そして不正資金を移動させる仕組みを提供していました。

SekoiaとKudelski Securityは、諜報活動と収益獲得の境界線は、見た目ほど明確ではないと指摘しています。