ラザルスグループ

ラザルスグループ（Lazarus Group、HIDDEN COBRAとしても知られる） は未知数の個人で構成されたサイバー犯罪グループ。ラザルスグループに関してはあまり知られてはいないが、研究者達は過去10年間の多くのサイバー攻撃は彼らが原因だとしている。

歴史 
2009年から2012年にわたって行われた「トロイ作戦(Operation Troy)」が彼らのもっとも初期の攻撃として知られている。これはソウルの韓国政府をターゲットとする単純な分散型サービス拒否攻撃（DDoS）技術を用いたサイバースパイ作戦だった。2011年と2013年の攻撃も彼らが原因であるとされている。韓国を標的にした2007年の攻撃の背後にいる可能性があるが、不確実のままである 。ラザルスが行ったとされる著名な攻撃としては2014年のソニー・ピクチャーズへの攻撃が知られている。ソニーへの攻撃ではより洗練されたテクニックを用いており、時間の経過とともにグループがどのように高度化したかが浮き彫りとなった。ラザルスグループはエクアドルの「Banco del Austro」から1200万ドル、2015年にベトナムの「Tien Phong Bank」から100万ドルを盗んだと報じられた 。彼らはまたポーランドとメキシコの銀行を標的にした 。2016年の銀行強盗 での8100万ドルを盗むのに成功したバングラデシュ銀行への攻撃はこのグループによるものとされた。2017年にラザルスグループは台湾の遠東国際商業銀行から6000万ドルを盗んだと報じられたが、実際の盗難額は不明であり、盗難資金の大半は回収された。

グループの黒幕が本当は誰なのかは明確ではないが、メディア報道ではグループが北朝鮮とつながりがあると示唆している 。カスペルスキーは2017年にラザルスはスパイ活動とサイバー侵入攻撃に集中する傾向がある一方で、ラザルス内の小グループ(カスペルスキーはBluenoroffと呼んでいる)は金融機関へのサイバー攻撃に特化していると報告した。カスペルスキーは世界規模の複数の攻撃とBluenoroffと北朝鮮間の直接リンク(IPアドレス)を発見した

しかしながら、カスペルスキーはまた世界規模のWannaCryワームサイバー攻撃はNSAの技術もコピーしているという点を踏まえると、コードの繰り返しは捜査員をミスリードさせ、北朝鮮に攻撃の罪を着せようと意図された「偽旗」である可能性も認めている。このランサムウェアはハッカーグループ「シャドウ・ブローカーズ(Shadow Brokers)」が2017年4月に公開した「エターナル・ブルー(EternalBlue)」として知られるNSAのハッキングツールを活用したものであった。シマンテックは2017年にWannaCry攻撃の背後にラザルスがいる「可能性が高い」と報告した

米国のセキュリティ企業によると世界中の30万台以上のコンピュータに影響を与えたWannaCryマルウェアは中国南部、香港、台湾またはシンガポールのハッカーによって作成された可能性が高いとされた 。マイクロソフト社長はWannaCry攻撃は北朝鮮によるものとした

2023年8月、ロイター通信は北朝鮮のハッカー集団「ラザルス」と「スカークラフト」が2021年後半ごろからロシアのロケット設計企業NPOマシノストロイェニヤのシステムにバックドアをインストールしており、2022年5月に検知されるまでその状況が続いていたと報じ、友好国も標的にすることが示されたとする専門家の指摘も伝えている。

主なサイバー攻撃

ブロックバスター作戦 
「ブロックバスター作戦(Operation Blockbuster)」という名の下でNovettaが率いるセキュリティ企業連合 は様々なサイバーセキュリティ事件において見つかったマルウェアのサンプルを分析することができた。そのデータを利用することで、チームはハッカーが用いた手法を分析することができた。 彼らはラザルスグループをコード再利用のパターンを通じて数々の攻撃と結び付けた

火炎作戦 
ラザルスグループが原因の可能性がある最も早期の攻撃が2007年に起こった。この攻撃は「火炎作戦(Operation Flame)」と名付けられ、韓国政府に対して第一世代のマルウェアを用いていた。一部研究者によれば、この攻撃に存在する活動は、「Operation 1Mission」「トロイ作戦」および2013年のDarkSeoul攻撃などの後の攻撃と関連付けることができるとされた。次の事件は2009年7月4日起こり、「トロイ作戦」の始まりを引き起こした。この攻撃では、MydoomとDozerのマルウェアを利用して、米国と韓国のウェブサイトに対する大規模ではあるが、かなり単純なDDoS攻撃を開始した。大量の攻撃が約3ダースのウェブサイトに行われ、マスターブートレコード(MBR)に「独立記念日の記憶(Memory of Independence Day)」の文章が埋め込まれた

10日間の雨 
時間と共にこのグループからの攻撃はより洗練されていった。彼らのテクニックとツールはより良く発展し、より効率的になっていった。「10日間の雨(Ten Days of Rain)」として知られる2011年3月の攻撃は韓国のメディア、金融機関、重要インフラをターゲットにしたもので、韓国内の感染したコンピュータ由来のより洗練されたDDoS攻撃で構成されていた。攻撃は韓国の放送企業3社、金融機関、ISPをターゲットにしたワイパー攻撃「DarkSeoul」による攻撃は2013年3月20日まで続いた。当時他の2つのグループ「NewRomanic Cyber Army Team」と「WhoIs Team」は攻撃を自分の手柄としたが、研究者達は現在はラザルスグループが攻撃の背後にいると知っていた

ソニー侵害 
ラザルスグループの攻撃は2014年11月24日に絶頂に達した。その日、Redditにソニー・ピクチャーズがハッキングされたと投稿された。当時は誰も知らなかったが、近年の歴史上最大の企業侵害の一つの始まりだった。攻撃時にグループは自身を平和の守護者(Guardians of Peace、GOP) と名乗り、ソニーのネットワークをハッキングし、数日間機能不全にした。グループは発見される一年前にソニーネットワーク内にいたと主張し、その話が本当である可能性は確かにあった 。ハッカーは以前にリリースされていない映画や約4000人の元及び現従業員の個人情報を含む貴重なインサイダー情報へのアクセスできたほど攻撃は侵入的だった。グループは内部Eメールにアクセスでき、ソニーで進められていた非常に投機的な実践を明らかにした

暗号通貨攻撃 
2018年にRecorded Future社はラザルスグループと主に韓国の暗号通貨ビットコインとモネロのユーザーへの攻撃を関連付ける報告書を発行した 。これらの攻撃は過去のWannaCryランサムウェアを用いた攻撃や、ソニー・ピクチャーズへの攻撃に技術的に類似していると報告された 。ラザルスのハッカーが用いた戦術の一つは韓国のワープロソフトであるハンコムのハングルの脆弱性を利用するものだった。他の戦術としてはマルウェアを含んだスピアフィッシングの餌が韓国の学生やCoinlinkのような暗号通貨取引所のユーザーに送付された。仮にユーザーがマルウェアを開いた場合、Ｅメールアドレスとパスワードを盗まれるようになっていた 。Coinlinkは彼らのサイトまたはハッキングされたユーザーのEメールとパスワードを拒否した。報告書は「この2017年後半の作戦は現在マイニング、ランサムウェア、明白な窃盗を含む幅広い分野の活動を網羅する暗号通貨への北朝鮮の関心の継続」だと結論付けた。報告書ではまた国際的な金融制裁に対処するためにこれらの暗号通貨攻撃を利用していると述べている。北朝鮮のハッカーは2017年2月に韓国の取引所「Bithumb」から700万ドルを盗んだ 。別の韓国のビットコイン取引所「Youbit」は2017年4月の初期の攻撃に続く2017年12月のサイバー攻撃で資産の17%を盗まれた後破産を申請した 。ラザルスと北朝鮮のハッカーがこの攻撃を行ったとされた

脚注

ソース 
 Virus News (2016). "Kaspersky Lab Helps to Disrupt the Activity of the Lazarus Group Responsible for Multiple Devastating Cyber-Attacks", Kaspersky Lab.
 RBS (2014). "A Breakdown and Analysis of the December, 2014 Sony Hack". RiskBased Security.
 Cameron, Dell (2016). "Security Researchers Say Mysterious 'Lazarus Group' Hacked Sony in 2014", The Daily Dot.
 Zetter, Kim (2014). "Sony Got Hacked Hard: What We Know and Don't Know So Far", Wired.
 Zetter, Kim (2016). "Sony Hackers Were Causing Mayhem Years Before They Hit The Company", Wired.

関連項目 
 キムスキー - 北朝鮮のハッカー集団。
  - 同上。
 北朝鮮サイバー軍

ハッカーグループ
APT攻撃