北朝鮮の国家関与が疑われるサイバー犯罪組織「Lazarusグループ」が、新たな攻撃手法で暗号資産業界や金融業界を狙っている。セキュリティ企業のCertiKが警告を発した。
この攻撃は「Mach-O Man」と名付けられた。MacOSを標的とし、一見普通のビジネス通話を装って企業幹部をだまし、自らの端末に侵入を許すコマンドを実行させてしまう。その手口の巧妙さから、セキュリティ専門家は「特に危険な状態にある」と指摘する。
Lazarusグループはこれまでに累計67億ドル相当の暗号資産を盗み出したと推定されており、その活動は国家主導の金融活動と化している。
「Mach-O Man」攻撃の仕組み
Mach-O Man攻撃の核心は、高度なソーシャルエンジニアリングにある。ソーシャルエンジニアリングとは、人間の心理的な隙や行動の癖を利用して、秘密情報を入手したり、不正な操作を行わせたりする手法だ。
ビジネス通話を装った罠「ClickFix」
攻撃は、標的となる企業の幹部に送られる「緊急」の会議招待から始まる。Telegramなどのメッセージングアプリを経由し、ZoomやMicrosoft Teams、Google Meetでの通話を求めるものだ。
送られてきたリンクをクリックすると、本物そっくりの偽のウェブサイトが表示される。そこには「接続に問題があります」といったメッセージとともに、問題を解決するための「たった一つのコマンド」をMacのターミナルに貼り付けるよう指示が書かれている。
この一連の手口は「ClickFix」と呼ばれる。被害者は接続トラブルを解消するための正当な手順だと信じ込み、自ら有害なコマンドを実行してしまう。これにより、攻撃者は即座に企業システムやSaaSプラットフォーム、金融リソースへのアクセス権を獲得する。
痕跡を残さないモジュラー型マルウェア
Mach-O Manは「モジュラー型」のマルウェアキットだ。モジュラー型とは、機能ごとに部品（モジュール）が分かれており、攻撃目的に応じて組み合わせたり変更したりできることを意味する。これにより、検知を逃れやすく、多様な攻撃が可能になる。
さらに悪質なのは、多くの場合、被害に気づく前にマルウェア自体が自己消滅することだ。CertiKのシニアブロックチェーンセキュリティリサーチャー、ナタリー・ニューソン氏はCoinDeskに対し、「被害者はおそらくまだ気づいていない。気づいたとしても、どの亜種に感染したのか特定できないだろう」と述べている。
ページは本物に見え、指示は普通であり、被害者自身がアクションを開始する。これが従来のセキュリティ対策では見逃されてしまう理由だと同氏は指摘する。
Lazarusグループの「国家事業」化
CertiKのニューソン氏は、暗号資産業界はLazarusグループを「単なるニュースの見出し」ではなく、銀行が国家関与のサイバーアクターを見るように、「恒常的で資金力のある脅威」として見る必要があると訴える。
その活動レベルが特に危険だという。過去2週間だけで、DriftとKelpDAOへの攻撃から5億ドル以上を盗み出した。これに新しいMacOSマルウェアキットが同じ月に加わったことは、ランダムなハッキングではなく、国家が指示する金融活動が機関並みの規模と速度で進行している証拠だと同氏は分析する。
67億ドルの累積被害と拡大する攻撃対象
Lazarusグループは2017年以降、累計で67億ドル相当の暗号資産を盗んだと推定されている。北朝鮮は暗号資産窃盗を「儲かる国家事業」へと変貌させており、Mach-O Manはその過程で生まれた最新の「製品」に過ぎない。
当初はLazarusグループが作成したこのマルウェアキットは、今では他のサイバー犯罪グループにも利用が広がっている。攻撃対象は暗号資産企業に留まらず、フィンテックなど他の高価値企業の幹部にも及んでいる。
DeFiプロジェクトのドメイン乗っ取り事例も
セキュリティ脅威リサーチャーのVladimir S.氏がXで指摘したように、この攻撃にはいくつかの亜種が存在する。すでに、Lazarusの攻撃者がこの新しいマルウェアを用いて分散型金融プロジェクトのドメインを乗っ取った事例がある。
攻撃者はプロジェクトのウェブサイトをCloudflareからの偽のメッセージに置き換え、アクセス権を付与するコマンドを入力するよう誘導する。これらの偽の「確認ステップ」は、有害なコマンドを実行するキーボードショートカットを被害者に案内する。
業界に求められる対策と認識の転換
Mach-O Manのような高度な標的型攻撃に対処するには、従来のウイルス対策ソフトだけでは不十分だ。技術的な対策とともに、組織全体のセキュリティ意識の向上が不可欠となる。
従業員教育の徹底
第一の防御線は「人」だ。不審な会議招待や、見知らぬ相手からの「緊急」の連絡には常に警戒する必要がある。特に、ターミナルにコマンドを貼り付けるよう指示する手順は、IT部門の正式な手順以外では極めて稀だ。このような要求が来た場合、即座に内部のセキュリティチームに確認する習慣を徹底させるべきだ。
多要素認証とゼロトラストの導入
仮に一部の認証情報が盗まれたとしても、被害を最小限に食い止める仕組みが必要だ。多要素認証は必須の対策である。さらに、ゼロトラストセキュリティの考え方を導入し、「ネットワーク内は安全」という前提を捨て、あらゆるアクセス要求を検証する姿勢が求められる。
重要なシステムへのアクセスには、通常とは異なるデバイスや場所からのログインを検知し、追加の認証を求めるような対策が有効だ。
脅威を「対岸の火事」と捉えない
ニューソン氏が強調するように、Lazarusグループの脅威は、暗号資産業界全体がその深刻さを再認識すべき段階にある。国家の資金と組織力を背景にした持続的な攻撃は、単発のハッキング事件とは次元が異なる。
業界のプレイヤーは、自社の資産を守るだけでなく、業界全体の信頼を守るという観点から、セキュリティ投資と情報共有を積極的に進める必要がある。攻撃手法が公表された今、同様の手口を用いた模倣犯の出現も想定されるため、警戒を緩めることはできない。
この記事のポイント
- LazarusグループがMacユーザーを狙う新攻撃「Mach-O Man」を展開している。ビジネス通話を装い、ターミナルコマンド実行で侵入を許す「ClickFix」手口を用いる。
- このマルウェアはモジュラー型で自己消滅するため検知が難しく、すでに他の犯罪グループにも流出している。
- 同グループは過去に67億ドルを超える暗号資産を窃盗。最近では2週間で5億ドル以上を盗むなど、国家主導の金融活動として活発化している。
- 防御には従業員教育の徹底が第一。不審なコマンド実行要求には絶対に応じない意識づけと、多要素認証などの技術的対策の両輪が必要だ。
- 暗号資産業界は、Lazarusグループを単なるハッカー集団ではなく、恒常的で組織的な国家レベルの脅威として認識を改めるべき段階にある。
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。