北朝鮮の攻撃グループがIT技術者に「技術力を確認したい」などと近づき暗号資産を窃取、警察庁・NCOが手口を解説

　警察庁と国家サイバー統括室（NCO）は9月18日、北朝鮮を背景とするサイバー攻撃グループ「WaterPlum」（ウォータープラム。関連名称「Contagious Interview」）の攻撃手口や、北朝鮮IT労働者による外貨獲得活動及び採用応募活動の実態について、米・豪・独の司法機関と合同で注意喚起の文書を発表した。

　WaterPlumは、警戒心の薄い求職者のPCに侵入し、機密情報の収集や暗号資産の窃取を行う。標的は日本のほか米国や欧州その他の国々におよび、100以上の国と地域において3万台以上の端末にマルウェアを感染させ、7千件以上の暗号資産ウォレット情報を窃取し、少なくとも約17億円に相当する暗号資産が送金されていたことが判明したという。

　北朝鮮が外貨獲得のためIT技術者の派遣などを積極的に行い、不法な核兵器や弾道ミサイル計画の資金源としていることは従来より指摘されており、8月には、日米韓ほか11カ国が北朝鮮のIT労働者が身分を偽り就労する実態への注意喚起に共同署名している。

　今回の発表で説明されている典型的な手口は、次のようなものだ。

　ソーシャルメディアやオンライン求人サイトなど、あらゆる手段を通じてWaterPlumは求職者にアプローチし、技術的なオンライン面接に参加するか、技術的なコーディング課題を完了させることを求め、複数のウェブ共同開発プラットフォームやコードリポジトリに掲載されている不正なプログラムをダウンロードさせたうえで、課題を完成させるよう指示する。

　不正なプログラムとは、具体的には悪意のあるNPM（Node Package Manager。Node.jsのパッケージ管理システム）パッケージに、「BeaverTail」「InvisibleFerret」「 OtterCookie」「OtterCandy」「StoatWaffle」などと呼ばれるマルウェアまたはその亜種を埋め込んだもの。WaterPlumは、これらにより標的のPCにバックドアを設置し、リモートアクセスツールにより、機密データや暗号資産を流出させる。また、C2（Command & Control）サーバーに接続して遠隔管理を行う。

WaterPlumが求職者に行う手口の図解

　対策として、注意喚起では次のことを挙げている。

• 業務で使用するPCや暗号資産・個人情報を扱うPCで、むやみに第三者が関与したコードを実行しないこと。仮想マシンなどのサンドボックス内でコードを実行すること
• コード実行前に難読化されている部分がないか、一見して動作を理解できない内容が含まれていないかを確認すること
• 指示に従ってウィンドウ内に貼り付けたコマンド（スクリプト）に「curl」「base64」「-enc」「mshta」「Invoke-WebRequest -uri」「 iwr -uri」「hidden」といった文字列が含まれる場合は特に注意する。事前に実行した際の動作を想定・理解できる場合を除き、実行しないこと
• マルウェア対策ソフトが検知した場合やマルウェア感染が疑われる場合は、速やかにWi-Fiを切断したりLANケーブルを抜いたりして、通信を遮断すること
• マルウェア対策ソフトが検知して駆除しても安心しないこと。検知前に暗号資産を含む情報が窃取されている可能性を考慮し、速やかに別のPCなどから新たなウォレットを作成し、すべての資産を退避させるなど対処し、新たなウォレットのシードフレーズは印刷や紙に書き写すなどして、PC 内に保管しないこと。また、検知できていない別のマルウェアが潜伏している可能性もあるため、PC の初期化を推奨する
• EDRなどを利用してPCの挙動を監視し、侵害挙動の早期発見やマルウェア感染を抑止することが有効
• 採用応募活動などで、自身が関与していないVSCodeのプロジェクトを開くよう依頼された場合は、必ず「制限モード」で開くこと（プロジェクトを開いた際に「このフォルダ内のファイルの作成者を信頼しますか？」と警告メッセージが表示される。「いいえ」を選ぶと制限モードになる）
• 条件や設定によっては VSCodeの警告が表示されない場合がある。対策として、開くように依頼されたプロジェクトを過去に「信頼する」と設定したフォルダ内で開かないこと（自身のプロジェクト内に配置しないこと）。そして、設定の「security.workspace.trust.enabled」で「ワークスペースの信頼を有効にする制御」を無効にしないこと

　このほか、今回の注意喚起では、北朝鮮IT労働者によるラップトップ・ファーム（支援社宅に多数のPCを設置し遠隔操作しての活動）やVPSを使った外貨獲得活動についても説明されている。

　国内外のクラウドソーシング・サービスで、オンライン上で業務を受注して業務を行っており、作業者は北朝鮮国内のほか中国やロシアに拠点を持ち、少数はアフリカや東南アジアにも居住しているという。

　北朝鮮IT労働者に業務を発注し、報酬を支払ったり外貨獲得の幇助行為を行った場合、国内法令や対北朝鮮制裁の違反行為に問われるおそれがあるとして、自宅に第三者が遠隔操作可能なPCをむやみに設置しないこと、取引相手や関係者が北朝鮮IT労働者である可能性を把握したら速やかに警察へ相談することなどを呼び掛けている。