FERRET マルウェア
Contagious Interview キャンペーンの背後にいる北朝鮮のサイバー工作員が、就職面接のプロセスを装って、総称して FERRET と呼ばれる macOS マルウェアを展開していることが判明しました。疑いを持たないターゲットは、エラー メッセージを生成するリンクを介して、採用担当者と通信するように誘導され、面接を進めるために VCam や CameraAccess などのソフトウェアをインストールまたは更新するように促されます。
目次
伝染性インタビュー: 執拗なサイバースパイ活動
2023 年後半に初めて発見された Contagious Interview は、ビデオ会議ソフトウェアを装った偽の npm パッケージやネイティブ アプリケーションを通じて被害者を感染させることを目的とした継続的なキャンペーンです。DeceptiveDevelopment や DEV#POPPER などの名前でも追跡されているこのキャンペーンは、ますます洗練された戦術を採用しながら進化を続けています。
BeaverTailとInvisibleFerretの削除
攻撃シーケンスでは通常、ブラウザや暗号通貨ウォレットから機密データを抽出するように設計された JavaScript ベースのマルウェアである BeaverTail が展開されます。このマルウェアは、追加のペイロードである InvisibleFerret と呼ばれる Python ベースのバックドアの配信メカニズムとしても機能します。
OtterCookie: 有害活動の新たな層
2024年12月、日本のサイバーセキュリティ研究者は、攻撃チェーンの別のコンポーネントであるOtterCookieというマルウェアの亜種を特定しました。このJavaScriptマルウェアは、追加の有害なペイロードを取得して実行するように設定されており、感染機能をさらに拡大します。
ClickFix スタイルの欺瞞による回避戦術の改良
2024年末にFERRETマルウェア ファミリーが発見されたとき、研究者は、攻撃者が検出を回避するために手法を改良していることに気付きました。注目すべき手法の1つは、カメラとマイクのアクセス問題を解決すると見せかけて、ユーザーをだましてmacOSターミナル アプリケーションで安全でないコマンドをコピーして実行させるClickFixスタイルのアプローチです。
LinkedIn を通じて求職者をターゲットにする
こうした攻撃の初期段階は、多くの場合、攻撃者がリクルーターを装って LinkedIn に働きかけることから始まります。主な目的は、潜在的な被害者にビデオ評価を受けさせ、最終的に Golang ベースのバックドアをインストールすることです。このマルウェアは特に陰険で、MetaMask ウォレットから暗号通貨資金を流出させるように設計されており、同時に攻撃者が侵害されたデバイスでコマンドを実行できるようにします。
FERRET マルウェアのコンポーネントを分析
研究者は、FERRET マルウェア ファミリに関連するいくつかのコンポーネントを特定しました。各コンポーネントは、攻撃シーケンスで異なる機能を果たします。
- FROSTYFERRET_UI:初期段階のペイロード。多くの場合、ChromeUpdate または CameraAccess アプリケーションを装います。
- FRIENDLYFERRET_SECD: 「com.apple.secd」として知られる二次的な Go ベースのバックドア。以前は暗号通貨ビジネスを標的とした Hidden Risk キャンペーンに関連付けられていました。
- MULTI_FROSTYFERRET_CMDCODES:ステージ 2 のバックドア機能をサポートする Go 構成ファイル。
FlexibleFerret: macOS での永続性の確立
FlexibleFerret と呼ばれる別のマルウェア アーティファクト セットも発見されました。この亜種は、LaunchAgent を使用して、感染した macOS システム内での永続性を維持することに重点を置いています。このマルウェアは、'FROSTYFERRET_UI' の機能を反映した InstallerAlert というインストーラー パッケージを介して配信されます。
求職者以外にも攻撃ベクトルが拡大
FlexibleFerret のサンプルは Apple インストーラー パッケージとして配布されましたが、被害者に実行させるために使用された正確な方法は不明です。ただし、証拠によると、このマルウェアは正当な GitHub リポジトリに偽の問題を作成することによっても拡散されています。この戦術の変化は、求職者だけでなく、開発者やテクノロジー業界の他の専門家を狙った、より広範なターゲット戦略を示しています。
北朝鮮のサイバー犯罪者が詐欺の手法を改良し続ける中、セキュリティ専門家は、オンラインの求人やソフトウェアのインストールの指示に応じる際には、一層の警戒を促している。
