国家支援を受けたグループが水準を引き上げる

北朝鮮のLazarusグループが、防衛・航空関連企業を標的とした新たな攻撃の波に関与していることが明らかになり、その詳細は標的だけでなく、他の点でも注目に値する。報道によると、このグループはパッチが提供される前にWindowsの欠陥を悪用したため、防御側は事前にギャップを埋める機会がなかった。足跡を隠すために、Lazarusは量子耐性暗号と侵害されたサーバーのネットワークに依存し、その結果、作戦の検出と解明ははるかに困難になった。

今回が、LazarusがWindowsのゼロデイとソーシャルエンジニアリング戦術を組み合わせて標的組織内に足場を築いたのは初めてではない。偽の求人詐欺におけるLazarusグループのWindowsゼロデイ使用に関する以前のレポートで取り上げたように、このグループは技術的な悪用と、機密性の高い業界の従業員を対象とした説得力のある誘い文句を組み合わせてきた実績がある。防衛・航空企業を標的とした最新のキャンペーンも同じ手法を踏襲しているようだが、暗号化の高度さという点がさらに追加されている。

なぜここで量子耐性暗号が重要なのか

量子耐性暗号は通常、防御技術として議論される。つまり、今日の標準的な暗号化を破ることができる強力な量子コンピュータが最終的に登場した場合に備えて、組織がデータを将来にわたって保護するために導入するものだ。攻撃者がC2トラフィックや盗難データを隠すために攻撃的な目的でそれを使用するのは、重要な転換点である。

Lazarusのような国家支援グループにとって、この種の暗号化は、傍受されたトラフィックの分析を、セキュリティ研究者やネットワーク防御者にとってはるかに困難なものにする。侵害されたサーバーを中継点として組み合わせることで、攻撃者のインフラストラクチャと標的ネットワーク内の侵害されたシステムとの間に、複数の難読化レイヤーが追加される。その結果、発見されるまでに長く持続できる作戦となり、攻撃者は横方向の移動、認証情報の収集、機密データの外部持ち出しに、より多くの時間を費やすことができる。

ゼロデイ悪用とパッチ適用の限界

パッチが適用される前にWindowsの欠陥が使用されたことは、サイバーセキュリティにおける根強い問題を浮き彫りにしている。十分なリソースを持つ組織でさえ、知っている脅威に対してしか防御できないということだ。ゼロデイ脆弱性は、定義上、修正プログラムが存在する前に悪用される。つまり、従来のパッチ管理は不可欠ではあるが、露出の窓を完全に塞ぐことはできない。

防衛・航空関連企業は、その業務に関連する機密性の高い知的財産、政府契約、国家安全保障上の影響により、Lazarusのようなグループにとって特に魅力的な標的となっている。偽の求人詐欺キャンペーンで見られたのと同じパターンは、Lazarusが力任せのハッキングではなく、個々の従業員を標的にしたソーシャルエンジニアリングを通じて初期の足場を築き、信頼が確立された後に技術的な悪用によって侵害されることが多いことを示している。

これがあなたにとって意味すること

このサイトの読者の大半は、防衛請負業者や航空会社の従業員ではないが、より広範な教訓は広く当てはまる。Lazarusのような高度な持続的脅威グループは、最先端の暗号化と、忍耐強く標的を絞ったソーシャルエンジニアリングをますます組み合わせている。つまり、不審な求人、思いがけない添付ファイル、異常なリクルーターからの連絡を見抜くという人的要素が、技術的防御と同じくらい重要であり続ける。

攻撃者による量子耐性暗号の使用は、暗号化自体が中立な技術であることを思い出させるものでもある。それは、正当なプライバシーと安全な通信を保護する一方で、悪意のある活動を隠すのにも同様に効果的である。これは、日常的なユーザーが自分自身のデータを保護する上での暗号化の価値を変えるものではないが、暗号化標準が進化しても、ネットワーク監視、エンドポイント検出、迅速なパッチ展開が重要であり続ける理由を浮き彫りにする。

機密性の高い分野の組織は、これを、緊急パッチをどれだけ迅速に展開できるか、またネットワーク監視ツールが既知のマルウェアシグネチャだけでなく、異常な暗号化トラフィックパターンを警告できるかどうかを再確認する合図と捉えるべきである。

重要ポイント

  • ゼロデイ悪用は、攻撃時にパッチが存在しないため、依然として深刻な脅威であり、行動検出とネットワーク分離がパッチ管理の重要な補完となる。
  • 量子耐性暗号は、防御戦略だけでなく攻撃者のツールキットにも登場しており、暗号化されたトラフィックだけを安全と想定しては決してならない。
  • 防衛、航空、その他の価値の高い分野の従業員は、一方的な求人やリクルーターからの連絡に引き続き警戒すべきである。これはLazarusが繰り返し使用してきた戦術である。
  • パッチがリリースされたらすぐにOSとソフトウェアを更新し続けること。修正が利用可能になった瞬間にゼロデイの窓は閉じるからである。
  • セキュリティチームは、シグネチャベースの検出に頼るだけでなく、異常な暗号化トラフィックや異常なサーバー通信を検出できるツールに投資すべきである。

国家支援グループが手法を洗練させ続ける中、これらの攻撃がどのように展開されるかについて情報を得続けることは、個人と組織が一歩先を行くための最も簡単な方法の一つである。