攻撃グループLazarusが使用するマルウェアBLINDINGCAN - JPCERT/CC Eyes

前回のJPCERT/CC Eyesでは、攻撃グループLazarus（Hidden Cobraとも言われる）がネットワークに侵入後に使用するマルウェアを紹介しました。他にも、この攻撃グループは複数のマルウェアを使用することが知られており、最近ではCISAでも別のマルウェアBLINDINGCAN[1]についての情報を公開しています。 今回は、JPCERT/CCにて確認したBLINDINGCANの詳細について紹介します。 BLINDINGCANの概要 BLINDINGCANは、ローダー（図1のLoader）がDLLファイル（図1のBLINDINGCAN）をロードすることで動作します。図1は、BLINDINGCANが動作するまでの流れを示しています。JPCERT/CC では、エンコードされたBLINDINGCAN がLoader によってデコードされた後、実行される場合もあることを確認しています。