OtterCookie の公開: 持続的なサイバー攻撃における秘密のデジタルツール

サイバーセキュリティ研究者は、Contagious Interview として知られる北朝鮮の長期にわたるサイバー攻撃に埋め込まれた高度な JavaScript ベースのツール OtterCookie を発見しました。この攻撃では、仕事に関連したおとり攻撃などのソーシャルエンジニアリング戦術を使用してシステムに侵入し、マルウェアを展開します。直ちに警戒する必要はありませんが、OtterCookie の展開の影響は、サイバー脅威の進化する性質と継続的な警戒の必要性を浮き彫りにしています。

Table of Contents

OtterCookie とは何ですか?

OtterCookie は、データの盗難を容易にし、他の悪意のあるソフトウェアの機能を強化するように設計された、新たに特定されたマルウェアです。GitHub や npm パッケージレジストリなどのプラットフォームを通じて配布され、通常は仕事関連のソフトウェアやツールに偽装されています。これらは、専門的な採用プロセスと思われるプロセス中に、疑いを持たないターゲットに提供されます。

OtterCookie は起動すると、Socket.IO JavaScript ライブラリを使用してコマンドアンドコントロールサーバーと通信します。この接続により、攻撃者はリモートでコマンドを発行でき、ファイル、クリップボードデータ、さらには暗号通貨ウォレットを危険にさらす可能性があります。このソフトウェアはシェルコマンドも実行できるため、機密情報を悪用しようとする脅威アクターにとって多目的なツールとなります。

OtterCookie の背後にあるキャンペーン

Contagious Interview キャンペーンは、Famous Chollimaや Tenacious Pungsan など複数の別名で呼ばれる北朝鮮のハッキンググループと関連している。このグループは、求職者に悪意のあるソフトウェアをインストールさせるためにリクルーターを装うなど、非常にターゲットを絞った戦術を採用することで悪名を馳せている。

キャンペーンの初期段階では、BeaverTail や InvisibleFerret などのマルウェアが導入されました。OtterCookie は、情報を盗むための Python スクリプトを組み込んだ更新された BeaverTail の亜種を補完する、より新しいマルウェアです。これらのアップグレードにもかかわらず、キャンペーンの感染チェーンはほとんど変更されておらず、疑いを持たない被害者をターゲットにすることに引き続き成功していることを反映しています。

OtterCookie は何を達成しようとしているのでしょうか?

OtterCookie の主な目的は、データの取得のようです。ファイル、暗号通貨ウォレット、その他の機密情報にアクセスすることで、このマルウェアは複数の目的を果たす可能性があります。これには、金銭窃盗、情報収集、さらにはより広範な地政学的目標のサポートなどが含まれる可能性があります。

証拠から、このツールは収益を生み出し、重要なデータを入手するためのより大規模な戦略の一部であることが示唆されています。場合によっては、身代金要求やその他の恐喝の前兆となることもあります。さらに、このマルウェアにはリモートでコマンドを実行する機能があるため、攻撃者はターゲットに応じてアプローチを柔軟に調整できます。

攻撃のより広範な影響

OtterCookie の発見は、国家が支援するサイバー攻撃が現在も巧妙化している現状を明らかにしています。このマルウェアはデータの窃盗に重点を置いていますが、より大規模なツールエコシステム内での役割は、より広範な傾向を浮き彫りにしています。たとえば、北朝鮮の攻撃者は、金融詐欺からランサムウェアの展開まで、さまざまな活動に関与していると言われています。

この作戦は、より広範な地政学的目的との関連から、国際的な懸念も引き起こしている。韓国外務省の報告書は、これらのサイバー活動が北朝鮮の兵器開発計画のための資金創出に関係していると指摘している。こうした作戦には、偽りの口実で海外に派遣されたIT担当者が関与することが多く、彼らはその地位を利用して北朝鮮に収入を流している。

OtterCookie が優れている点は何ですか?

同じキャンペーンで展開された以前のツールとは異なり、OtterCookie は機能に対してモジュール式のアプローチを採用しています。コア機能は一貫していますが、新しいバージョンでは、暗号通貨ウォレットのキー盗難などの機能がマルウェア自体に合理化されています。この継続的な進化は、攻撃者が戦術を洗練させ、防御がしっかりしたシステムに対してもツールが効果的であり続けるようにする取り組みを浮き彫りにしています。

さらに、OtterCookie は Socket.IO などの広く使用されているテクノロジーに依存しているため、検出と緩和がさらに困難になる可能性があります。正当なプロセスに溶け込むことで、マルウェアは可視性が低下し、その起源を追跡したり、その活動をブロックしたりする取り組みが複雑になります。

脅威にさらされる環境で安全を保つ

OtterCookie のようなツールの台頭は、個人と組織の両方にとってサイバーセキュリティ意識の重要性を強調しています。ソーシャルエンジニアリングキャンペーンの仕組みを理解することは、リスクを軽減するための重要な第一歩です。たとえば、求職者は、特にオンライン採用プロセス中に、検証されていないソースからファイルやソフトウェアをダウンロードする際には注意する必要があります。

組織は、フィッシング攻撃やこうした攻撃に関連するその他の危険信号を認識するために、従業員のトレーニングを優先する必要があります。さらに、エンドポイント保護、ネットワーク監視、タイムリーな更新などの強力なサイバーセキュリティ対策を実装すると、侵入が成功する可能性を減らすことができます。