PurpleBravo 攻撃キャンペーン
脅威インテリジェンスアナリストは、「Contagious Interview」キャンペーンの標的とみられる3,136件のIPアドレスを特定しました。このキャンペーンには、人工知能、暗号通貨、金融サービス、ITサービス、マーケティング、ソフトウェア開発といった分野で活動する20の潜在的な被害組織が関与していると考えられています。影響を受けた組織はヨーロッパ、南アジア、中東、中米にまたがっており、活動の世界的な広がりを物語っています。
IPアドレスは主に南アジアと北米に集中しており、2024年8月から2025年9月の間に標的にされたと推定されています。影響を受けた企業は、ベルギー、ブルガリア、コスタリカ、インド、イタリア、オランダ、パキスタン、ルーマニア、アラブ首長国連邦、ベトナムに拠点を置いていると報告されています。
目次
PurpleBravo: 北朝鮮の脅威が蔓延するクラスター
この活動は、2023年後半に初めて記録された「PurpleBravo」として追跡されている北朝鮮関連のクラスターによるものとされています。このグループは、セキュリティコミュニティ全体で複数の名称で知られており、業界全体での広範な追跡を反映しています。
CL-STA-0240、DeceptiveDevelopment、DEV#POPPER、Famous Chollima、Gwisin Gang、Tenacious Pungsan、UNC5342、Void Tokkaebi、WaterPlum
PurpleBravo は、サイバースパイ活動と金銭窃盗を組み合わせた目的に沿って、長期的なインフラストラクチャ、ソーシャルエンジニアリングの手法、マルウェア開発への継続的な投資を実証してきました。
採用プロセスと開発者エコシステムの活用
最近の調査結果は、Contagious Interviewキャンペーンの大きな進化の暴露を受けて発表されたものです。このキャンペーンでは、攻撃者が悪意のあるMicrosoft Visual Studio Codeプロジェクトを武器化してバックドアを配布しています。この戦術は、信頼できる開発ツールとワークフローを悪用することで、侵入が成功する可能性を高めています。
研究者らは、ウクライナのオデッサを拠点とする、開発者やリクルーターを装ったLinkedInの偽アカウントと、BeaverTailなどのマルウェアを拡散するために設計された悪意のあるGitHubリポジトリを特定しました。複数のインシデントでは、求職者が企業支給のデバイス上で悪意のあるコードを実行し、個人にとどまらず企業環境に直接侵入したと報告されています。
マルウェアの武器庫とコマンドインフラストラクチャ
PurpleBravoは、複数のマルウェアファミリーをサポートするために、独立したコマンドアンドコントロール（C&C）インフラストラクチャを運用しています。これには、JavaScriptベースのインフォスティーラー兼ローダーであるBeaverTailや、オープンソースのHackBrowserDataプロジェクトから派生したGoベースのバックドアであるGolangGhost（FlexibleFerretまたはWeaselStoreとしても追跡されています）が含まれます。
同グループのC2サーバーは17のホスティングプロバイダーに分散されており、Astrill VPNを介して管理されています。管理活動は中国のIPアドレス範囲で追跡されています。Astrill VPNの使用は、北朝鮮による過去のサイバー攻撃で繰り返し記録されており、攻撃者の特定を強固なものにしています。
「賃金モグラ」によるIT労働者の脅威との収束
Contagious Interviewは、Wagemole（PurpleDelta）と呼ばれる別個の関連キャンペーンを補完するものとして評価されています。このキャンペーンでは、北朝鮮のIT労働者が盗難または偽造された身元を用いて不法就労し、主に収益の獲得とスパイ活動を行っています。Wagemoleは2017年から活動しており、独立したクラスターとして追跡されていますが、捜査官は戦術とインフラにおいて顕著な重複を発見しています。
観察されたリンクには、北朝鮮の IT ワーカーと一致する行動を示す PurpleBravo オペレーター、PurpleBravo インフラストラクチャと通信する既知の IT ワーカーのアクティビティに関連付けられたロシアの IP アドレス、および両方のクラスターに関連付けられた共有 Astrill VPN ノードが含まれます。
サプライチェーンと企業リスクの増大
特に懸念される傾向として、架空の求人広告を用いて求職者を誘い込み、雇用主所有のシステムでコーディングテストを受けさせるという手法が挙げられます。これは、採用詐欺を企業への侵入経路へと転換するものです。これは、広く知られているIT労働者の雇用スキーム以外でも、ソフトウェアおよびITサプライチェーンが侵入に対して非常に脆弱であることを示しています。
標的となった組織の多くは大規模な顧客基盤を誇っており、下流のサプライチェーンへの侵入の可能性を高めています。セキュリティ研究者は、北朝鮮のIT労働者への脅威が広く注目を集めている一方で、PurpleBravoによるサプライチェーン侵入モデルも同様に優先すべきだと警告しています。組織は、採用プロセス、開発環境の管理、サードパーティのリスク管理を強化し、北朝鮮の脅威アクターによる機密データの漏洩を検知、阻止、防止することが強く求められています。
