오늘은 북한 해킹 단체인 코니(Konni) 에서 만든 악성코드인 국가안보연보고서2 에 대해서 알아보겠습니다. 해당 악성코드는 국가안보전략연구원 쪽 2025년 12월 26일에 나온 것을 돼 있으며 제목은 북한 노동당 제9차 대회 예상되는 경제 정책 변화 전망으로 돼 있으며 탈북자 출신 1호 박사님 이름으로 돼 있는 악성코드입니다.파일명:국가안보연보고서2.hw...

「オペレーション・アルテミス」と呼ばれる大規模マルウェア・キャンペーンの一環として、北朝鮮のハッキンググループAPT37（別名ScarCruft）は、韓国のワープロソフトHWPとDLLサイドローディングを悪用した高度な攻撃手法を用いた。この作戦は韓国の専門職を標的としており、主に政治、メディア、国際関係分野の従事者が狙われた。初期侵入は、インタビュー依頼やイベント招待を装ったフィッシングメールによって達成された。 韓国のセキュリティ企業Geniansによると、攻撃者はテレビ局の記者や学者になりすまし、アンケートや正式な招待状を装ったHWP文書を被害者に送付した。これらのファイルにはOLEオブジェクトが埋め込まれており、多段階の実行チェーンを起動して、最終的に正規プロセスのコンテキスト内でDLL置換により悪意あるライブラリを読み込ませた。この手法により、攻撃者はシグネチャベースの防御を回避し、解析を大幅に困難にした。 Geniansのレポートは、ステガノグラフィの使用に特に重点を置いており、これまで確認されていない肖像写真を含む画像ファイル内に悪意あるデータを隠蔽することで、さらなる秘匿性の層を提供していた。調査担当者はまた、以前のキャンペーンで使用された攻撃スクリプトの再利用も特定しており、Program Database（PDB）のデバッグ文字列における同一パスに至るまで一致していたことから、同一の脅威アクターによる組織的な活動であることが示唆された。 version.dllなどの悪意あるモジュールはSysinternalsユーティリティを介して実行され、標準的な管理ツールを装ってペイロードを読み込ませることが可能だった。このアプローチは、疑わしい実行ファイルに対する静的チェックを効果的に回避した。読み込み後、ライブラリは複数のキーによるXOR演算（実行を高速化するSSEベースのルーチンを含む）を用いて段階的にペイロードを復号し、実行速度を高めるとともにリバースエンジニアリングへの耐性を強化した。 このキャンペーンの最終目的は、APT37の武器庫としてよく知られるRoKRATファミリーのリモートアクセスツールを展開し、起動させることだった。このツールにより、コマンド＆コントロール（C2）サーバーとの秘匿通信、データの持ち出し、侵害システム上でのリモートコマンド実行が可能となる。 通信チャネルとして商用クラウドプラットフォームが使用された。こうしたサービスを悪用することで、悪意あるトラフィックを正規のものに見せかけられるだけでなく、ネットワークレベルでの遮断もより困難になる。解析の結果、攻撃者が同一の識別子を用いて複数のクラウドサービスにわたりアカウントを事前登録していたことが判明し、インフラの戦略的一貫性が浮き彫りになった。 レポートは、APT37が規律をもって活動し、回避技術の洗練を継続している点を強調している。これらの手法は単に検知を逃れるためだけでなく、詳細な解析やフォレンジック調査にも耐え得るよう設計されている。その結果、組織には防御戦略の見直しが求められており、特に振る舞い分析とリアルタイムの活動監視が可能なEDRソリューションの採用が推奨される。 この種の攻撃を検知するには、孤立した事象ではなく、文書の実行からクラウド基盤への外向き通信に至る攻撃チェーン全体を相関できるツールが必要である。こうした包括的な可視性があって初めて、潜伏した活動を適時に特定し、感染を封じ込め、データ流出を防止できる。 翻訳元:

A new report reveals North Korea-linked ScarCruft is using RokRAT malware to target academics in a phishing campaign.…

Follow us on Bluesky, Twitter (X), Mastodon and Facebook at @Hackread

ScarCruft (APT37) launches Operation HanKook Phantom, a phishing campaign using RokRAT to target academics, ex-officials, and researchers. Cybersecurity firm Seqrite Labs uncovered a phishing campaign, tracked as dubbed Operation HanKook Phantom, by the North Korea-linked group APT37 (aka Ricochet Chollima, ScarCruft, Reaper, and Group123). Threat actors are using a fake “National Intelligence Research Society Newsletter […]

The North Korean hacking group ScarCruft, also known as APT37, has been identified as the perpetrator behind a phishing campaign targeting academics. The campaign deploys the RokRAT malware to compromise systems and gain unauthorized access. While specific technical details of the attack are not disclosed in the source, the use of RokRAT suggests that the attackers aim to exfiltrate sensitive information, potentially including research data or intellectual property. APT37 is known for its sophisticated tactics and has previously targeted government, military, and private sector entities. The group's involvement indicates a well-planned operation with potentially significant implications. The choice of academics as targets highlights the value of intellectual property and research data in the cyber espionage landscape. The use of phishing as the initial attack vector underscores the importance of human factors in cybersecurity. Despite advances in technical defenses, phishing remains a highly effective method for gaining initial access to targeted systems. This campaign serves as a reminder for organizations, particularly in the academic sector, to bolster their phishing defenses and endpoint protection measures. The deployment of RokRAT, a presumed Remote Access Trojan, allows attackers to maintain persistent access to compromised systems. This can lead to further exploitation, including data exfiltration, lateral movement within networks, and the deployment of additional malware. The potential impact on the cybersecurity landscape is significant, as successful attacks could result in the loss of sensitive research data and intellectual property. For cybersecurity professionals, this campaign highlights the need for continuous monitoring and threat intelligence sharing. It is crucial to stay updated on the tactics, techniques, and procedures (TTPs) used by APT groups like ScarCruft to effectively defend against such threats. Additionally, organizations should prioritize security awareness training to educate employees about the risks of phishing and how to recognize and report suspicious emails. In conclusion, the targeting of academics by APT37 using RokRAT malware in a phishing campaign underscores the evolving threat landscape and the importance of robust cybersecurity measures. Organizations must remain vigilant and proactive in their defense strategies to mitigate the risks posed by advanced persistent threats.

Cybersecurity researchers have discovered a new phishing campaign undertaken by the North Korea-linked hacking group called ScarCruft (aka APT37) to deliver a malware known as RokRAT. The activity has been codenamed Operation HanKook Phantom by Seqrite Labs, stating the attacks appear to target individuals associated with the National Intelligence Research Association, including academic figures

national intelligence read more about ScarCruft Uses RokRAT Malware in Operation HanKook Phantom Targeting South Korean Academics

ScarCruft (APT37) launches Operation HanKook Phantom, a phishing campaign using RokRAT to target academics, ex-officials, and researchers.

ScarCruft (APT37) launches Operation HanKook Phantom, a phishing campaign using RokRAT to target academics, ex-officials, and researchers.

ScarCruft’s Operation HanKook Phantom uses RokRAT malware in spear-phishing campaigns, targeting South Korean academics for espionage.

Follow us on Bluesky, Twitter (X), Mastodon and Facebook at @Hackread

<p>Cybersecurity researchers identified a new phishing campaign by North Korea-linked group ScarCruft (APT37), targeting South Korean individuals. The attack used [&hellip;]</p>

ScarCruft (APT37) launches Operation HanKook Phantom, a phishing campaign using RokRAT to target academics, ex-officials, and researchers.