米政府、北朝鮮のハッカーが使用する2種類のマルウェアについて情報公開

　米国土安全保障省（DHS）と米連邦捜査局（FBI）は、北朝鮮のハッカーがコンピュータシステムへの侵入とパスワードなどのデータの窃取に使用しているとされる2種類のマルウェアについて、詳しい情報を公開した。

　DHSとFBIによると、北朝鮮のハッカーは少なくとも2009年から、リモートアクセスツール（RAT）の「Joanap」、「Server Message Block」（SMB）ワームの「Brambul」の両方を利用して、メディア、航空宇宙、金融、および重要インフラなどの企業を標的にしているという。

　JoanapはハッカーがリモートのC＆Cサーバから発する命令を受け取ることができるとDHSとFBIはセキュリティアラートで警告している。Joanapは通常、ほかのマルウェアによってドロップされるファイルとしてシステムに感染する。ユーザーは、ハッカーによってセキュリティを侵害されたサイトを訪問したときや、悪意ある電子メールの添付ファイルを開いたときに、そうしたマルウェアを知らずにダウンロードしてしまう。

　そのマルウェアは感染した「Windows」デバイス上で、北朝鮮のハッカー（DHSとFBIは「HIDDEN COBRA」というコード名で呼んでいる）がデータの窃取、ほかのマルウェアの実行、プロキシ通信の初期化などを行うことを可能にするという。ほかにも、ファイル管理やプロセス管理、ディレクトリの作成および削除、ノード管理などの機能を備える。

　Joanapマルウェアによって利用されたインフラストラクチャの分析により、米政府はアルゼンチン、ベルギー、ブラジル、カンボジア、中国、コロンビア、エジプト、インド、イラン、ヨルダン、パキスタン、サウジアラビア、スペイン、スリランカ、スウェーデン、台湾、チュニジアを含む国々で、ハッキングキャンペーンの一部として利用された87の感染ネットワークノードを特定した。

　DHSとFBIによると、BrambulマルウェアはSMB共有を通して拡散するワームで、ブルートフォース（総当たり）攻撃を実行するという。SMBはWindowsのファイル共有プロトコルだ。Brambulは通常、ハードコーティングされたログイン認証情報のリストを使用して、SMBプロトコルに対するブルートフォースパスワード攻撃を仕掛け、被害者のネットワークへのアクセスを試みる。

　北朝鮮のハッカーを止めるのは難しいことがわかっているが、マルウェアに関する情報の一部を公開することで、米当局は、企業が攻撃から自社を保護しやすくなるようにできる。

　この文書の中で、企業や組織に対し、OSやソフトウェアに新しいパッチを適用して、最新の状態にしておくよう促している。多くの攻撃は脆弱なアプリケーションやOSを標的とするためだ。

　また、ウイルス対策ソフトを最新にしておくことや、ユーザーが不必要なソフトウェアアプリケーションをインストールし、実行する権限を制限することなどを推奨している。