CyberLink製品を悪用したサプライチェーン攻撃、MSが報告–北朝鮮のグループか

今回は「CyberLink製品を悪用したサプライチェーン攻撃、MSが報告–北朝鮮のグループか」についてご紹介します。

関連ワード （セキュリティ等） についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。

　Microsoft Threat Intelligenceは米国時間11月22日、北朝鮮に拠点を置く攻撃グループ、Diamond Sleet（旧ZINC）によるサプライチェーン攻撃を検出したことを発表した。これまで日本、台湾、カナダ、米国などで、100台以上のデバイスが影響を受けているという。

　攻撃者は、マルチメディア関連ソフトウェアを開発する台湾企業CyberLinkのアプリケーションを基に、不正な亜種を作成している。この不正なファイルは正規のインストーラーを改変したもので、第2段階のペイロードをダウンロード、復号し、ロードする。CyberLinkに発行された有効な証明書によって署名されているほか、正規のインフラ上でホストされている。また、セキュリティー製品による検出を回避するため、実行のための時間が制限されている。

　この第2段階のペイロードは、Diamond Sleetが前に侵害したインフラと通信しているため、Microsoftは今回の攻撃が同グループによるものだと確信しているという。

　同社はさらなる攻撃のリスクを軽減すべく、この侵害についてCyberLink、顧客、GitHubに通知するなど、さまざまな対策を講じたとしている。

　Microsoftによると、Diamond Sleetは世界各地のメディア、防衛、IT業界を狙った攻撃で知られており、主に諜報活動、個人・企業データの窃盗、金銭的利益、企業ネットワークの破壊を目的に活動している。さまざまなカスタムマルウェアを使用しているのが特徴で、最近ではトロイの木馬化したオープンソースのプロプライエタリーソフトを使い、IT、防衛、メディア関連の組織を標的にしていたという。