北朝鮮のハッキング組織「APT37」、統一関連学術会議の資料を装う…研究者・政策担当者を攻撃

北朝鮮のハッキング組織「APT37」が、学術会議の資料集に偽装したメールで研究者や政策担当者を狙い撃ちにした。Genianusセキュリティセンターは13日、APT37とみられる攻撃者が先月22日、研究・政策・学術分野の従事者らにメールを送信したと明らかにした。

攻撃者は6月12日にソウル・COEXで開催された「なぜ今、元山（ウォンサン）・葛麻（カルマ）観光なのか？」という学術会議の資料集を提供するという内容で、実際のイベント名と主催機関の情報を盗用し、統一分野の企業になりすまして送信者情報を偽装した。

メールのリンクを通じてISOイメージファイルをダウンロードさせた後、ファイル実行時に画面上には正常な資料集を表示する一方、バックグラウンドでマルウェアを密かに実行する多段階の感染構造を利用した。最終的に実行されるAPT37の主力マルウェアである「RokRAT」の変種は、Windowsエクスプローラーなどの正常なプロセス内で動作して検知を回避し、正規のクラウドサービスやGoogleボットになりすましたトラフィックを通じてネットワーク監視網も回避していると分析された。