悪名高い北朝鮮のハッキング組織「Lazarus」のサブグループは、高度なサイバー攻撃において、米国に拠点を置く2つの会社を含む複数のペーパーカンパニーを設立し、偽の面接を通じて無防備な開発者を誘い、オープンソースソフトウェアのリポジトリにマルウェアを埋め込んでいる。

この新たな手口は、世界の暗号およびWeb3部門に侵入し悪用するLazarusの進行中のキャンペーンを大幅にエスカレートさせるものである。

攻撃の隠れ蓑としての偽米国企業

サイレント・プッシュ社のセキュリティ研究者は、悪名高いラザロ・グループとつながりのある北朝鮮のサイバー工作員が、偽の身分証明書と住所を使って、ニューメキシコのブロックノヴァスLLCとニューヨークのソフトグライドLLCの少なくとも2つのペーパーカンパニーを設立していたことを突き止めた。

これらの企業は合法的な暗号コンサルタント会社を装い、LinkedIn、Upwork、CryptoJobsListなどのプラットフォームに求人情報を掲載し、開発者を集めていた。

ハッカーたちはまた、AIが生成した画像を使って3つのフロント暗号企業の従業員のプロフィールを作成し、実在の人物の画像を盗んでいた。

quot;このネットワークでは、多数の偽従業員や実在の人物から盗まれた画像が使用されています。私たちは、明らかな偽物や盗用画像のいくつかを記録してきましたが、このキャンペーンによるなりすましの努力はそれとは異なることを理解することが非常に重要です；

面接の過程で、攻撃者は受験者にファイルのダウンロードやリンクのクリックを促し、実際には認証情報や暗号ウォレットの鍵、機密データを盗むように設計されたマルウェアを配信していた。

策略の一環として、候補者が紹介ビデオを録画しようとすると、エラーメッセージが表示された。解決策として提示されたのは、コード・スニペットをコピー＆ペーストするというもので、これを完了すると最終的にマルウェアがインストールされるという手口だった。

サイバーセキュリティ企業Silent Pushによると、このキャンペーンの一環として、3つの異なるマルウェア株（BeaverTail、InvisibleFerret、Otter Cookie）が現在活発に展開されているという。

Blocknovasは偽企業の中で最も活発に活動していた企業で、FBIはその後、求人募集を装ってマルウェアを配布するために使われていたことを確認し、そのドメインを押収した。

伝染性インタビュー」と名付けられたこの作戦は、暗号部門に侵入し悪用するLazarusの広範な取り組みのサブセットである。信憑性を高めるため、攻撃者はAIが生成した従業員プロファイルと捏造したビジネスインフラを使用した。

このマルウェアは、個人のウォレットを危険にさらすだけでなく、パスワードや機密情報を採取することで、企業への追跡攻撃を可能にした。

GitHubとNPMによるサプライチェーン攻撃

ソーシャル・エンジニアリングにとどまらず、Lazarusはソフトウェアのサプライチェーンをターゲットに、暗号やWeb3の開発者が広く使用する重要なツールであるGitHubリポジトリやNPMパッケージに悪意のあるJavaScriptを注入し、その活動を強化している。

特定のマルウェアの亜種の1つであるMarstech1は、検出を回避するために、高度な難読化技術とアンチ解析技術を駆使して設計されていた。

インストールされると、MetaMask、Exodus、Atomicなどの人気のあるウォレットをスキャンし、秘密鍵を抽出し、ブラウザの設定を変更して暗号通貨取引を傍受する。

SecurityScorecard社は、全世界で少なくとも233人の被害者を確認しており、このマルウェアが広く使われているソフトウェア・プロジェクトに組み込まれた場合、リスクは数百万人に及ぶ可能性があると警告している。

FBIは、ブロックノヴァのようなドメインを押収し、北朝鮮のサイバーアクターによる持続的かつ進化する脅威について警告を発するなど、こうした活動を妨害するための行動をとっている。

専門家は、これらのキャンペーンは平壌の政権に資金を提供するだけでなく、世界の暗号エコシステムのセキュリティと安定性に重大かつ増大するリスクをもたらすと強調している。