Lazarus APT、暗号資産の偽ゲーム宣伝するサイトでChromeのゼロデイを悪用(CVE-2024-4947)
Securityonline[.]info – October 23, 2024
Kaspersky Labsは、APTグループLazarusが巧妙なキャンペーンを行っていることを発見した。このキャンペーンは、DeFiにおけるNFTベースの戦車ゲーム「DeTankZone」を宣伝する一見本物に見えるサイトを展開するもので、ユーザーはサイトを訪問するだけでマルウェアに感染してしまう。
同サイトのインデックスファイルには、Google ChromeのJavaScriptエンジンV8における2件の脆弱性を標的にしたエクスプロイトが潜んでいる。一方はMaglevコンパイラに存在するゼロデイ欠陥CVE-2024-4947(型の取り違えの脆弱性)で、Chromeのプロセスメモリで読み取り/書き込みを行う権限を取得するために使われる。もう一方の脆弱性は、V8のサンドボックスをバイパスするためのもの。攻撃者はこれらの脆弱性を組み合わせることで、Chromeの保護された環境を抜け出して権限を拡大できるようになる。これにより機微データの読み取りからさらなるペイロードの実行まで、被害者のマシンを広範囲に制御することが可能になるという。
Lazarusは高度なソーシャルエンジニアリングキャンペーンを行うことを特徴としているが、今回も例外ではなく、Xでの宣伝を通じてインフルエンサーやゲーマーにゲームのリンクを共有するよう持ちかけている。また、キャンペーンに信ぴょう性を持たせるために同ゲームのプロトタイプまで開発されていたようだが、カスペルスキーの調査によれば、ゲームのソースコードは別の開発者から盗まれたものとのこと。
ソーシャルエンジニアリングやゼロデイ攻撃、ソースコードの盗用まで行うこのキャンペーンにより、Lazarusの戦術がますます巧妙になっていることが示されている。
ランサムウェアレポート無料配布中!
以下のバナーより、ランサムウェアのトレンドを扱ったSilobreaker社のレポート『2024 Ransomware? What Ransomware?』の日本語訳バージョンを無料でダウンロードいただけます。
<レポートの主なトピック>
- 主なプレーヤーと被害組織
- データリークと被害者による身代金支払い
- ハクティビストからランサムウェアアクターへ
- 暗号化せずにデータを盗むアクターが増加
- 初期アクセス獲得に脆弱性を悪用する事例が増加
- 公に報告された情報、および被害者による情報開示のタイムライン
- ランサムウェアのリークサイト – ダークウェブ上での犯行声明
- 被害者による情報開示で使われる表現
- ランサムウェアに対する法的措置が世界中で増加
- サプライチェーン攻撃を防ぐため、手口の変化に関する情報を漏らさず把握
- 複数の情報源と脅威インテリジェンスツールを活用することが依然不可欠