ObjCShellz マルウェアは NK 脅威アクター BlueNoroff に関連している

Jamf Threat Labs が明らかにしたように、北朝鮮に関連する国民国家グループ BlueNoroff が、ObjCShellz と呼ばれる未公開の macOS マルウェア株に関連していることが判明しました。このマルウェアは、今年初めに発表された RustBucket マルウェア キャンペーンの一部です。セキュリティ研究者の Ferdous Saljooki 氏によると、過去の BlueNoroff 攻撃を分析したところ、このマルウェアはソーシャル エンジニアリングを通じて行われる多段階攻撃の最後の段階として機能することが示唆されています。

BlueNoroff は、別名 APT38、ニッケル グラッドストーン、サファイア スリート、スターダスト チョリマ、TA444 としても知られ、悪名高い Lazarus グループの下部組織として活動しています。金融犯罪を専門とする BlueNoroff は、制裁を回避して政権に不法利益を生み出すために銀行と暗号通貨セクターをターゲットにしています。

この暴露は、Lazarus GroupがブロックチェーンエンジニアをターゲットにKANDYKORNと呼ばれる新しいmacOSマルウェアを使用しているというElastic Security Labsの暴露に続くものである。さらに、BlueNoroff に関連付けられた AppleScript ベースのバックドアである RustBucket が、攻撃者が制御するサーバーから第 2 段階のペイロードを取得するために使用されます。

感染連鎖の餌として利用される求人情報

BlueNoroff が組織した攻撃では、投資アドバイスや雇用の機会を約束して潜在的なターゲットを誘惑し、おとり文書を通じて感染チェーンを開始します。

研究者には標的に関する具体的な情報が不足していますが、最近の攻撃と攻撃者が使用したドメイン名から、仮想通貨業界またはそれに密接に関連する企業が焦点となっていることが示唆されています。この攻撃の正確な最初のアクセス ベクトルは依然として不明ですが、侵害されたマシン上でコマンドを手動で実行するためのエクスプロイト後のペイロードとしてマルウェアが配信されたのではないかという疑惑が指摘されています。