BabyShark(ベビーシャーク)マルウェアとは?北朝鮮発の標的型攻撃の実態と対策

BabyShark(ベビーシャーク)マルウェアは、北朝鮮の国家支援ハッカー集団が関与しているとされる比較的新しいマルウェアの一種です。2019年2月にPalo Alto NetworksのUnit 42リサーチチームによって初めて確認されました。

セキュリティ研究者たちがその出自を特定できたのは、北朝鮮が好んで用いることで知られる「スピアフィッシング」手法で配布されていたためです。この事例では、米国の著名な核問題専門家から送信されたように見せかけたメールが使用されました。メールには実際の専門家の名前が使われ、北朝鮮の核・ミサイル開発という時事性の高いテーマが巧みに絡められていたのです。

さらに、KimJongRATやSTOLEN PENCILといった北朝鮮関連のマルウェアと同じ侵入手法を使用している点も、北朝鮮のハッキンググループによる犯行であることを裏付ける重要な根拠となっています。

BabySharkマルウェアの仕組み

感染の第一段階では、悪意のあるMS Excelファイルに含まれるMicrosoft Visual Basic(VB)スクリプトが実行されます。

このVBスクリプトは、MS WordおよびExcel向けの一連のマクロコードを有効化し、レジストリキーの追加を行うとともに、ユーザー情報、システム情報、システム名、IPアドレス、実行中のタスクとそのバージョンを収集するコマンドを発行します。

収集された情報は、certutil.exeという実行ファイルを使って暗号化された後、C&Cサーバーへ送信されます。初期情報の送信後、マルウェアはC&Cサーバーからの命令を待ち受ける待機状態に入ります。

この脅威アクターの主な目的は、東北アジアの国家安全保障に関する情報収集であると考えられています。

BabySharkマルウェアの駆除方法

BabySharkマルウェアはMS WordやExcelファイル経由で配布されますが、それ自体は「ファイルレスマルウェア」です。つまり、特定のフォルダーには存在せず、必要に応じて何度でも実行できるコードとして動作します。

この特性により、多くのアンチマルウェアソフトでは検出が困難ですが、振る舞い監視、アプリケーション隔離、エンドポイント強化に対応した製品であれば対処可能です。こうした技術を幅広く備えたOutbyte Anti-Malwareの利用をおすすめします。

駆除作業では、WindowsまたはMacデバイスを「ネットワークありのセーフモード」で起動してください。これにより、マルウェアが自動起動項目に干渉するのを防ぐことができます。

アンチマルウェアによるスキャン完了後は、PC修復ツールを使って、ウイルスが潜んでいる可能性のあるダウンロードフォルダーや一時フォルダーをクリーンアップしましょう。

PC修復ツールは、破損したレジストリエントリファイルの修復にも役立ちます。

マルウェアの駆除に成功したら、再感染を防ぐための対策を必ず講じてください。

BabySharkマルウェアからシステムを守る方法

コンピューターをBabySharkマルウェアから守る最善の方法は、北朝鮮系グループが好んで使うスピアフィッシング攻撃に引っかからないことです。メールや添付ファイルがどれほど魅力的に見えても、そう見せかけられているのには理由があることを理解しましょう。

また、メールの真偽を確認することも常に可能です。BabySharkマルウェアの場合を考えてみてください。米国の著名な核専門家が、見ず知らずの人々に対して北朝鮮関連のファイルをメールで共有する可能性はどれほどあるでしょうか。このように立ち止まって考えるだけで、被害を未然に防げるのです。

最後に、信頼できるアンチマルウェアツールを常時導入し、定期的にデバイスをスキャンすることを習慣づけましょう。