Lazarus、RemotePE利用し金融機関標的活動

Lazarus、RemotePE利用し金融機関標的活動

北朝鮮関連グループ「Lazarus」に関連する活動において、金融機関および暗号資産関連組織を対象とした「RemotePE」マルウェアの使用が確認されている。本マルウェアは、メモリ上で動作する構成を採用しており、ファイルシステム上へ残る痕跡を抑える方式が利用されている。

攻撃では、「DPAPILoader」と「RemotePELoader」による2段階のローダーチェーンが確認されている。DPAPILoaderはWindows Data Protection API（DPAPI）を利用してRemotePELoaderを復号・実行し、その後、RemotePELoaderがC2サーバーと通信してRemotePE本体をメモリ上へ展開する。

RemotePEはメモリ内で動作し、Hell’s Gate関連技術を利用した構成も確認されている。また、一部活動では、ファイル削除時に複数回の上書きを行う挙動も報告されている。

今回の活動では、技術的侵害より前段階として、Telegram経由の接触やCalendly、Picktimeを模倣した予約サイトを利用するケースが確認されている。被害者を偽サイトへ誘導した後、端末感染を通じて内部アクセス権取得が試みられていた。

NCC GroupおよびFox-ITの分析によれば、RemotePEは金融機関や暗号資産関連組織を対象とした活動で利用されており、開発時期は2023年中頃から2024年中頃と推定されている。