ラザルス・グループ、偽の求人詐欺でWindowsのゼロデイ脆弱性を悪用

北朝鮮のラザルス・グループが再び動き出した。今回は、最も古い手口の一つと最新のツールの一つを組み合わせている。新たな報告によると、国家の支援を受けるハッキンググループは、偽の求人案内と、これまで知られていなかったWindowsのゼロデイ脆弱性を併用し、防衛・航空宇宙関連組織に侵入した。このキャンペーンは、長年にわたり防衛分野を悩ませてきた長期スパイ活動「Operation Dream Job（ドリーム・ジョブ作戦）」の新たな章となるが、今回の動きは、目的を達成するためなら貴重で未公開のエクスプロイトを惜しみなく消費する姿勢を示している。

偽の求人詐欺の仕組み

この攻撃は、これまでラザルスの活動を追ってきた人にはおなじみのパターンをたどる。採用担当者を装った人物が防衛・航空宇宙企業の従業員に接触し、標的が知っている企業での求人案件をちらつかせる。専門的な文面、もっともらしい役職、すぐには疑われないだけの詳細が含まれており、実際の採用活動を忠実に模倣しているため、一見正当なものに感じられる。

これは新しい戦術ではない。以前の記事「防衛・航空宇宙企業を狙うOperation Dream Jobのゼロデイ攻撃」で取り上げたように、攻撃者たちは偽の求人案件を本物らしく見せるため、長年かけてこうした誘い文句を磨いてきた。今回のキャンペーンを際立たせているのは、やり取りの最後に待ち受けているペイロードだ。標的が応じると、攻撃者はWindowsのゼロデイ脆弱性を悪用するファイルまたはリンクを送りつける。これは攻撃時点でマイクロソフトにも知られておらず、パッチも未提供だった脆弱性だ。つまり、標準的なセキュリティソフトにはそれを検知するシグネチャがなく、標的のシステムは明らかな警告なしに侵害される可能性がある。

Windowsゼロデイの視点

ゼロデイ脆弱性が貴重なのは、まさに未知であるからだ。それを所持する攻撃者は、通常なら既知のエクスプロイトを阻止するパッチ適用済みの防御をすり抜けられる。今回ラザルスがゼロデイを使用したことは、国家の支援に相応しいリソースと技術力を示しており、セキュリティ研究者が以前から見てきたパターンとも一致する。ちょうど昨年、マイクロソフトはラザルスに関連するマルウェアをインストールするために実際に悪用されていた別のWindowsゼロデイにパッチを適用せざるを得なかった。これについては「ラザルス関連ルートキットの脆弱性にマイクロソフトがパッチ適用」の記事で詳しく報じている。この新たな脆弱性がすでにパッチ適用済みかどうかにかかわらず、根本的な教訓は同じだ。マイクロソフトの月例更新サイクルだけに頼っていると、執念深い攻撃者が喜んで突いてくる隙が生まれる。

防衛関連企業以外にとっても重要な理由

これは防衛・航空宇宙分野で働く人にしか影響しない話だと読みがちだが、プライバシーへの影響はさらに広がる。ラザルスは組織だけでなく個人も標的にする。偽の求人案内を受け取る従業員は、何か落ち度があったからではなく、その人のアクセス権や人脈、端末上の機微なデータゆえに選ばれることが多い。侵害が起きれば、その1台のノートパソコンがより広いネットワークへの足がかりとなり、個人の通信、認証情報、場合によっては機密情報や企業独自の情報がさらされる可能性がある。

このキャンペーンは、より広い傾向も浮き彫りにしている。十分な資金をかけたセキュリティ基盤でさえ、ソーシャルエンジニアリングは今なお最も効果的な突破手段の一つだ。誰かにファイルを開かせる説得力のあるメッセージを、ファイアウォールやエンドポイント保護ツールだけで完全に補うことはできない。ゼロデイが今回の攻撃を特に危険にしたが、最初の侵入口は相変わらず人間の信頼だった。

これはあなたにとって何を意味するか

ほとんどの読者はラザルスのフィッシングメッセージを受け取ることはないだろうが、ここで使われた手口は、それほど高度でない詐欺でもますます一般的になっている。偽の採用担当者、求人詐欺、オファーレターやコーディングテストに見せかけた悪意のある添付ファイルは、LinkedInやメールで日常的になっている。防衛、航空宇宙、テック、研究など機微な業界で働いているなら、一方的に届く求人の連絡には、不審な請求書やうますぎる当選通知と同じように懐疑的に対応しよう。

個人の警戒に加えて、この事例はOSとセキュリティソフトを最新に保つことの重要性を思い出させてくれる。ゼロデイは定義上、事前にパッチを当てることはできないが、このような脆弱性が公表されると、ベンダーは通常すぐに修正プログラムをリリースする。その更新を先延ばしにすると、パッチ自体から脆弱性をリバースエンジニアリングする攻撃者にさらされたままになる。

実践すべきポイント

リンクをクリックしたり添付ファイルをダウンロードしたりする前に、採用担当者の連絡を独自に確認しよう。理想的には、企業の公式チャネルを通じて直接問い合わせることだ。求人説明や評価テストのように見えるファイルでも、予期しないファイルはまずスキャンせずに開かないこと。Windowsとすべてのソフトウェアは、パッチが利用可能になり次第更新すること。ゼロデイは詳細が漏れた後、すぐに広範な悪用が続くことが多いからだ。防衛や航空宇宙など価値の高い分野で働いている場合は、不審な求人案内を自分だけで処理せず、組織のセキュリティチームに報告しよう。ラザルスの偽の求人案内とWindowsゼロデイの悪用は、経験豊富な専門家でも非常に巧妙な誘い文句で標的にされ得ることを示している。しかし、健全な懐疑心と優れたセキュリティ習慣が最善の防御であることに変わりはない。