攻撃グループLazarusは侵入時と侵入後に異なるマルウェアを使用(JPCERT/CC) | ScanNetSecurity
2026.04.22(水)

攻撃グループLazarusは侵入時と侵入後に異なるマルウェアを使用(JPCERT/CC)

一般社団法人JPCERTコーディネーションセンター(JPCERT/CC)は8月31日、攻撃グループLazarusがネットワーク侵入後に使用するマルウェアについて発表した。

脆弱性と脅威 脅威動向
マルウェアの挙動
マルウェアの挙動 全 1 枚 拡大写真
一般社団法人JPCERTコーディネーションセンター(JPCERT/CC)は8月31日、攻撃グループLazarusがネットワーク侵入後に使用するマルウェアについて発表した。

JPCERT/CCでは、国内組織を狙ったLazarus(Hidden Cobra)と呼ばれる攻撃グループの活動を確認、同グループは攻撃の際、ネットワーク侵入時と侵入後に異なるマルウェアを使用しており、今回は侵入後に使用されたマルウェアの1つについて詳細を紹介している。

確認されたマルウェアは、モジュールをダウンロードして実行するマルウェアで「C:¥Windows¥System32¥」などのフォルダに拡張子drvとして保存され、サービスとして起動しており、コードはVMProtectで難読化されファイルの後半に不要なデータを追加することでファイルサイズが150MBほどになっている。モジュールのダウンロードに成功した以降、モジュールがC2サーバからの命令受信などメインの挙動を行い、通信先や暗号化キーなどはマルウェアから引数として受け取る。

このマルウェアのネットワーク内での横展開には、SMBMapというSMB経由でリモートホストにアクセスするPythonツールを、PyinstallerでWindows実行ファイル化したツールが使用され、攻撃者は事前に取得したアカウント情報をもとにマルウェアを横展開していた。

《ScanNetSecurity》

関連記事

この記事の写真

/

特集

PageTop

アクセスランキング

  1. 受託業務で受領したデータの様式を同意なく別業務へ流用、非表示設定となっていたワークシート内に顧客情報が残存

    受託業務で受領したデータの様式を同意なく別業務へ流用、非表示設定となっていたワークシート内に顧客情報が残存

  2. YCC情報システムにランサムウェア攻撃

    YCC情報システムにランサムウェア攻撃

  3. おたクラブ大阪店で顧客から預かったUSBメモリを一時紛失(いこい)

    おたクラブ大阪店で顧客から預かったUSBメモリを一時紛失(いこい)

  4. グループ会社の通信機器を攻撃し社内ネットワークに侵入 ~ 穴吹ハウジングサービスへのランサムウェア攻撃

    グループ会社の通信機器を攻撃し社内ネットワークに侵入 ~ 穴吹ハウジングサービスへのランサムウェア攻撃

  5. ガートナー、日本国内におけるセキュリティ・インシデントの傾向を発表

    ガートナー、日本国内におけるセキュリティ・インシデントの傾向を発表

ランキングをもっと見る
PageTop