北朝鮮のハッキング集団「ラザロ・グループ」が、「ライトレスカン（LightlessCan）」と呼ばれる新しいマルウェアの亜種を導入し、詐欺的な雇用スキームを展開している。

これまでのLazarusマルウェアの例とは異なり、この新しいマルウェアは検知に大きな困難をもたらす。

最初の検出

ESET's シニアマルウェアリサーチャーの Peter Kálnai は、次のような調査結果を発表した。9月29日の投稿で スペインの航空宇宙企業に対する偽の求人攻撃を分析した結果である。

Lazarus Group'の典型的な手口は、評判の良い企業への魅力的な就職斡旋で被害者を誘い、文書に見せかけた悪質なペイロードをダウンロードさせるというものです。

この事件の被害者は、プロフェッショナル向けソーシャル・ネットワーキング・プラットフォーム「リンクトイン」の機能である「リンクトイン・メッセージング」を通じて連絡を取っていた。

彼らは採用プロセスの一環として2つのコーディング課題を受け取り、被害者はそれをダウンロードして会社のデバイスで実行した。1つの課題は、"Hello, World!"のテキストを表示する基本的なプロジェクトで、もう1つはフィボナッチ数列を印刷するものだった。

ESETリサーチは、被害を受けた航空宇宙企業と協力して、最初のアクセス手順を再構築し、Lazarus Group'のツールセットを分析しました。

ライトレスキャン

ESETチームによって「LightlessCan"」と名付けられたこのマルウェアは、その前身である「BlindingCan」よりも著しく改善されています。

Kálnai氏は、LightlessCanはWindowsの様々なネイティブコマンドを模倣することができ、リモートアクセス・トロイの木馬（RAT）自体の中で目立たないように実行できるため、騒々しいコンソールの活動を減らすことができると説明した。

さらに、この新しいマルウェアには、意図した被害者のマシンだけがペイロードを解読できるようにするための「実行ガードレール」が組み込まれている。

これらはすべて、セキュリティ研究者による意図しない復号化を防ぐのに役立つ。

この強化されたステルス性は、EDRのようなリアルタイム・モニタリング・ソリューションや、死後のデジタル・フォレンジック・ツールにとって課題となる。

ラザロ・グループ

HIDDEN COBRAとしても知られるラザロ・グループは、少なくとも2009年までさかのぼる歴史を持つ北朝鮮のサイバースパイ集団である。

ブロックチェーン・フォレンジック会社Chainalysisが9月14日に発表したところによると、北朝鮮のハッカーは2016年以来、暗号通貨プロジェクトから約35億ドルを盗んでいると報告されている。

Coinliveは以前、ラザロ・グループが暗号通貨取引所CoinExに5,500万ドルの襲撃をかけたことを報じた。

国連はこの集団がもたらす脅威を認識しており、国際的な規模で北朝鮮のサイバー犯罪の手口を抑制するために積極的に取り組んでいる。

国連は、盗まれた資金は北朝鮮の核ミサイル開発支援に使われる .