前へ 次へ
アンラボ「北朝鮮のAPTは86台…中国やロシアより圧倒的に多い」
Upbit ハッキングも、Lazarus が使用した戦術とほぼ一致しています。
画像を拡大する
当局は北朝鮮のLazarusがUpbitハッキングの対象となる可能性が高いと発表
【ソウル＝聯合ニュース】イ・ジヌク記者＝韓国最大の仮想資産取引所アップビットで起きた４４５億ウォンの仮想資産ハッキング事件の首謀者として北朝鮮偵察総局傘下のハッキング組織「ラザラス」の可能性が濃厚視されている。写真は28日、ソウル市内の地下鉄駅に設置されたアップビットの広告。 2025.11.28 [email protected]
【ソウル＝聯合ニュース】オ・ジウン記者＝仮想資産取引所アップビットで発生した４４５億ウォンのハッキング事件の原因として北朝鮮偵察総局傘下のハッキング組織「ラザラス」の可能性が指摘されているが、ラザロが過去１年間に少なくとも３１回のハッキング攻撃を行ったことが確認された。
最近の Upbit ハッキングと Lazarus 組織の既存の攻撃パターンとの関連性は、いくつかの点で重複していることが分析により示唆されており、注目を集めています。
30日、情報通信技術（ICT）業界によると、アンラボはこのような内容を盛り込んだ「2025年のサイバー脅威動向と2026年のセキュリティ展望」という報告書を発表した。
アンラボが昨年10月から今年9月までに公開されたAPT（高度持続的攻撃）グループの活動を調査した結果、最も多く言及されたのはラザルスで31件、次いで北朝鮮偵察総局傘下の別のハッキング組織キムスキーが27件だった。
APT とは、国家レベルで実行される高度で長期間にわたるハッキング手法を指します。
同期間の活動件数は北朝鮮が86件で最も多く、次いで中国27件、ロシアとインドがそれぞれ18件、パキスタンが17件となった。
アンラボは、「秘密裏に活動するAPT組織の性質上、実際の攻撃数はさらに多くなる可能性があり、政府機関に対する一部の攻撃は公開されない可能性がある」と説明した。
画像を拡大する
身分を偽装した北朝鮮のIT人材（PG）
[강민지 제작] 図
アンラボによると、ラザロとスキ・キムは政治、外交、金融、仮想通貨などさまざまな業界をターゲットに金銭的利益や情報収集を狙っているという。スピアフィッシング、サプライチェーン攻撃、マルチプラットフォームマルウェア、権限昇格、MFA（多要素認証）バイパスなどの高度な攻撃手法を利用するのが特徴です。
特にLazarusの場合、最近では▲仮想資産▲金融▲情報技術（IT）▲防衛と攻撃対象が拡大している。
Macオペレーティングシステム（OS）やLinuxに対応したマルチプラットフォームのマルウェアを多数開発しており、このマルウェアにはクリップボードの監視や仮想通貨ウォレットの情報窃取機能が含まれていると分析されている。
また、Lazarusはソフトウェアの脆弱性を悪用した「Operation SyncHole」攻撃を通じて、韓国のIT、ソフトウェア（SW）、金融など少なくとも6つの組織を侵害したことも確認された。
これは、水飲み場の手法を組み合わせて、通常のWebサイトに悪意のあるコードを仕掛け、ユーザーがアクセスすると感染を引き起こす仕組みです。韓国で広く使われているSWの脆弱性を利用した手法です。
Upbit ハッキングを巡る最近の調査で、Lazarus の既存の戦術と多くの類似点が発見されました。
Lazarus は、海外の仮想資産取引所に対する攻撃で、ウォレットの署名手順の変更、アドレス置換マルウェア、MFA バイパス、サプライ チェーンへの侵入を組み合わせて使用しました。
今回のUpbit事件では、署名過程で異常な改ざんが発生して大量の資産が転送されたこと、転送経路を秘密裏に分散させる手法、ウォレットアドレス改ざんの可能性など、既存のLazarus攻撃と同様の要素が検出されました。政府当局もラザロを犯人として捜査している。
画像を拡大する
国別のAPTグループ活動の数
[안랩 보고서 캡처. 재판매 및 DB 금지]
アンラボはスキ・キム氏のグループの特徴として偽装とソーシャルエンジニアリングのスピアフィッシングを挙げた。
スキ・キム容疑者は、講演依頼や取材依頼などを装った悪質なファイルを配布する攻撃を行ったほか、「mail.ru」などのロシアの電子メールドメインや「My Domain.Korea」などの韓国の無料ドメインを利用して発信元を隠す手法も使った。 ISO ファイルや韓国語文書を使用した攻撃も頻繁に行われました。
さらに、スキ・キムはフェイスブックやテレグラムなどのさまざまなソーシャルプラットフォーム上で多段階の攻撃手法を実行しており、最近ではAIベースの偽IDの使用も報告書に含まれている。
サブグループ「Larva-24005」はユーザーのキー入力を盗む機能を持っていると分析され、「Larva-24009」は韓国のユーザーを標的としたリンクベース攻撃を行ったと分析された。
さらに、Andariel、Konni、TA-RedAnt などの北朝鮮の APT 組織も、韓国のさまざまな業界に対する攻撃を続けています。
アンラボの報告書は「ハッカー集団の高度な侵入技術とランサムウェア・アズ・ア・サービス（RaaS）の仕組みが組み合わされれば、攻撃の成功率と被害規模はさらに拡大する可能性がある」とし、「国際制裁を受けている国が利益確保のためにサイバー攻撃を利用する可能性も高まっている」と警告した。
報告書は続けて、「北朝鮮のAPT組織は仮想資産の窃取に特化したマルウェアの開発を続けており、韓国はデジタルへの依存度が高いため、集中的な攻撃の標的になる可能性が高い」と述べた。
構築済み@yna.co.kr
カカオトークで報告 オクジェボ
無断転載・再配布、AI学習・使用禁止＞
2025/11/30 06:08 送信 2025/11/30 06:08 送信
#北朝鮮のラザロとキムスキの58件攻撃は韓国を標的に集中していた