Microsoft Threat Intelligenceは米国時間11月22日、北朝鮮に拠点を置く攻撃グループ、Diamond Sleet（旧ZINC）によるサプライチェーン攻撃を検出したことを発表した。これまで日本、台湾、カナダ、米国などで、100台以上のデバイスが影響を受けているという。
提供：Getty
攻撃者は、マルチメディア関連ソフトウェアを開発する台湾企業CyberLinkのアプリケーションを基に、不正な亜種を作成している。この不正なファイルは正規のインストーラーを改変したもので、第2段階のペイロードをダウンロード、復号し、ロードする。CyberLinkに発行された有効な証明書によって署名されているほか、正規のインフラ上でホストされている。また、セキュリティー製品による検出を回避するため、実行のための時間が制限されている。
この第2段階のペイロードは、Diamond Sleetが前に侵害したインフラと通信しているため、Microsoftは今回の攻撃が同グループによるものだと確信しているという。
同社はさらなる攻撃のリスクを軽減すべく、この侵害についてCyberLink、顧客、GitHubに通知するなど、さまざまな対策を講じたとしている。
Microsoftによると、Diamond Sleetは世界各地のメディア、防衛、IT業界を狙った攻撃で知られており、主に諜報活動、個人・企業データの窃盗、金銭的利益、企業ネットワークの破壊を目的に活動している。さまざまなカスタムマルウェアを使用しているのが特徴で、最近ではトロイの木馬化したオープンソースのプロプライエタリーソフトを使い、IT、防衛、メディア関連の組織を標的にしていたという。
