Lazarus APTが検出回避技術を開発か PNGにzlibオブジェクトをBMPとして埋め込む

持続的標的型攻撃の実行グループが使う手法や技術は洗練化と巧妙化が進む。サイバー攻撃グループ「Lazarus APT」は、PNG画像の中にBMP画像に見せかけたzlibオブジェクトを仕込む技術を開発した。

[後藤大地，有限会社オングス]

　現在もアクティブに活動し、攻撃方法を洗練させ続けるサイバー犯罪グループに「Lazarus APT」と呼ばれる組織がある。このグループは北朝鮮の脅威アクターの一つとされ、2009年から活動が捕捉されている。Lazarus APTはここ2〜3年の間に日本をはじめ、米国や韓国など、複数の国を標的にサイバー攻撃を仕掛けている。特にこのグループは新しい技術を開発して常に巧妙な攻撃方法を仕掛ることがセキュリティ専門家の間で知られている。

　このLazarus APTがまた新しい攻撃手段を発見したようだ。セキュリティ企業であるMalwarebytesは2021年4月19日（現地時間）、Lazarus APTが、悪意あるHTAファイルをビットマップ形式のファイルに見せかけてPNG形式ファイルに埋め込むという巧妙な手段を開発したようだと伝えた。セキュリティソフトウェアの検出を回避することが目的だと見られており、その隠し方は用意周到なものになっている。

Lazarus ATPの仕組んだ手口（出典：Malwarebytes）

実際の攻撃キャンペーンも観測、悪意あるコードはWordに埋め込まれた