Insiktレポート

北朝鮮がならず者政権のツールとしてインターネットに革命をもたらした方法

投稿: 2020年2月9日

作成者 : Insikt Group®

分析の全文をPDFでダウンロードするには、ここをクリックしてください。

この調査では、Insikt Groupは、サードパーティのデータ、IPジオロケーション、Border Gateway Protocol(BGP)ルーティングテーブル、ネットワークトラフィック分析、およびいくつかのツールを使用してオープンソースインテリジェンス(OSINT)を分析することにより、北朝鮮の上級管理職のインターネット活動を調査しました。本レポートで分析したデータは、2019年1月1日から2019年11月1日までのものです。

このレポートは、テクノロジー、金融、防衛、暗号通貨、物流セクターの政府部門や組織だけでなく、北朝鮮の制裁回避、違法な資金調達、国家が支援するサイバースパイ活動を調査する人々にとっても最も興味深いものとなるでしょう。

Executive Summary

過去3年間、Recorded Futureは、北朝鮮の最高指導者の行動に関する独自の洞察を明らかにする一連の研究記事を発表してきた。 2019年の私たちの観察と調査結果は、これらの観察結果を拡張して、北朝鮮の指導者がインターネットをどのように使用しているかについて、より広範な結論を示しています。北朝鮮の政治・軍事エリートにとって、2019年のデータは、インターネットが単なる魅力や余暇活動ではなく、収益の創出、禁止されている技術や知識へのアクセス、運用上の調整のための重要なツールであることを示している。

さらに、我々は、北朝鮮が多国籍組織や西側諸国によって課せられた国際的な金融規制や制裁体制を回避するためのインターネットベースのモデルを開発したと評価する。これには、インターネットを収益源として利用するだけでなく、北朝鮮の核・弾道ミサイル計画の開発やサイバー作戦など、禁止されている知識や技術を習得するための手段として利用することも含まれます。このモデルは、収益を上げるための3つの主要な戦術を使用します。暗号通貨およびブロックチェーン技術の使用と利用。低レベルの情報技術(IT)の仕事と金融犯罪。

最も基本的な点では、北朝鮮は、制裁回避のメカニズムとしてインターネットを活用するモデルを開発しましたが、これは特徴的ですが、例外ではありません。このモデルはユニークですが、再現可能であり、最も懸念されるのは、ベネズエラ、イラン、シリアなど、他の経済的に孤立した国々が、インターネットを使用して制裁を回避する方法の一例となることです。

主な判断

2017年以降、北朝鮮のネットワークとの間の活動量が300%増加していることが確認されています。これは、ロシアがルーティングするTransTelekomインフラストラクチャの使用の増加、北朝鮮の未解決のIPスペースの一部の使用、トラフィック負荷の増加をサポートするための新しいメールサーバー、FTPサーバー、DNSネームサーバーの立ち上げなど、さまざまな要因によるものと評価しています。
生活パターンやコンテンツの変化が続いていることは、インターネットが北朝鮮の最高指導者にとってプロフェッショナルなツールになっている可能性が高いことを示している。現在、インターネットの利用が最も高いのは平日の北朝鮮の勤務時間で、週末や午後遅くから夕方にかけて活動が最も多かった2017年から変化しています。
活動量の300%の増加、TransTelekomインフラストラクチャを介した追加の/24サブネットのルーティングによって提供される帯域幅と容量の増加、および以前は未解決のIPスペースの最近の利用と組み合わせると、インターネットはもはや単なる魅力や余暇活動ではなく、北朝鮮の指導者にとって重要なツールになっていると評価しています。
北朝鮮がDNS(Domain Name Service)を悪用して、独自のVPN(Virtual Private Network)を構築していることが分かりました。このVPNは、DNSトンネリングと呼ばれる技術を使用しており、DNSプロセスをドメイン解決のためではなく、閉じたネットワーク内でデータを転送したり、トンネルを開いたりするために使用されることを指します。この手法は、北朝鮮のユーザーが無防備なターゲットのネットワークからデータを盗み出すため、または政府が課すコンテンツ規制を回避する手段として使用される可能性があると評価しています。
金正恩政権が2019年中に残る4つの国営保険会社のアクセシビリティを向上させることに明らかに焦点を合わせているのは、2017年のKNIC制裁後の収益創出手段としての保険詐欺の再活性化と、北朝鮮の潜在的な投資家を安心させる試みの両方である可能性があると私たちは考えています。
2019年5月以降、北朝鮮のIP範囲からのMoneroマイニング活動が少なくとも10倍に増加していることが確認されています。 Moneroの匿名性と低い処理能力要件が、北朝鮮のユーザーにとってMoneroをビットコインよりも魅力的にしている可能性が高いと考えています。

背景

2017年4月以降の私たちの調査が示しているように、北朝鮮の最高指導者の中には、世界のインターネットへの直接アクセスを許されている少数の人々がいます。北朝鮮のインターネット利用者の数は信頼できるものではないが、記者たちは「ごく少数の人々」から「北朝鮮の指導者の内輪」、「数十家族」までと推定している。正確な人数はともかく、北朝鮮のインターネットユーザーのプロフィールは明確で、彼らは家族の一員であるか、支配階級の信頼できるメンバーである。

北朝鮮のエリートが世界のインターネットにアクセスする方法は、主に3つある。最初の方法は、割り当てられた.kpを使用することです範囲、175.45.176.0 / 22、これはまた、国内で唯一のグローバルなインターネットアクセス可能なWebサイトをホストしています。これらには、co[.]KP、政府[.]kp、edu[.]kp、およびさまざまな北朝鮮の国営メディア、旅行、教育関連サイトの約25のサブドメイン。

2 番目の方法は、China Netcom によって割り当てられた範囲 210.52.109.0/24 を使用する方法です。ネットネームの「KPTC」は、国営通信会社である Korea Posts and Telecommunications Co.の略称です。 3つ目の方法は、ロシアの衛星会社が提供する割り当てられた範囲77.94.35.0/24を経由する方法で、現在レバノンの SatGate に解決されています。

ここで注意したいのは、「北朝鮮のインターネット活動」や「行動」とは、北朝鮮の国内イントラネット(光明)ではなく、選ばれた少数の指導者や支配層エリートだけがアクセスを許されるグローバルなインターネットの使用を指していることである。このデータでは、光明へのアクセスが許可されている大規模な北朝鮮人グループ、または北朝鮮に所在する外交機関や外国の施設によるイントラネットの活動や行動に関する洞察は得られません。

解析

インターネット利用の正常化

2018年10月のレポートで観察したように、2017年初頭に北朝鮮の指導者の行動を調査し始めて以来、インターネット活動の量は増加しています。過去3年近くの間に、北朝鮮のネットワークとの間の活動量は300%近く増加しました。このインターネット利用の増加にはいくつかの理由が考えられると考えています。

第一に、北朝鮮は世界のインターネットにアクセスするための帯域幅と容量を増やしました。 2017年10月、北朝鮮は新たなパートナーであるロシアのTransTelekom(AS20485)を買収し、最大のIP範囲のサブセットの1つである175.45.176.0/22のインターネットトラフィックをルーティングしました。それより前は、175.45.176.0/22全体からのすべてのトラフィック範囲は中国聯合通信(AS4837)によってルーティングされ、2019年9月上旬の時点では、175.45.178.0 / 24のみでしたサブネットはこれまでにTransTelekomインフラストラクチャを使用していました。

しかし、2019年9月中旬にBGPルーティングテーブルに変化が見られ、175.45.177.0/24 サブネットはチャイナユニコムからトランステレコムに完全に移行していました。 Hurricane Electric およびその他のサービスによって実行される traceroutes と BGP ルートクエリの両方で、175.45.177.0/24 が確認されますサブネットは TransTelekom インフラストラクチャを横断するようになりました。

さらに、サブネット分析によると、北朝鮮の全インターネットトラフィックの45%がTransTelekomインフラストラクチャを通過しており、2018年初頭のわずか36%から増加しています。この容量の増加は、過去1年間のインターネットトラフィック量の増加の少なくとも一部を占めていると評価しています。 TransTelekomとChina Unicomの両方のインフラストラクチャを介して別々のサブネットをルーティングすると、インターネット通信の遅延が減少し、北朝鮮の指導者ユーザーの速度とアクセシビリティが向上する可能性があります。

第二に、北朝鮮は過去6ヶ月間で、これまで未解決だったIP空間の一部を使用し始めました。 6月初旬、北朝鮮のネットワーク管理者は、kptc[.]KPのドメイン。以前は、kptc[.]KPの175.45.176.15 と 175.45.176.16 に解決しました。 2019年6月上旬の時点で、これらのネームサーバーは175.45.177.15と175.45.177.16に移動しました。それぞれ。 6月初旬より前は、これら2つのIPアドレスはまったく解決されませんでした。それ以来、これら 2 つの IP は、SMTP (またはメール) サーバーと FTP サーバーとして追加の役割を果たしています。

これらの変化は、最初は些細なことのように思えるかもしれませんが、北朝鮮のユーザーに提供するサービスの拡大を意味しています。私たちは、kptc[.]KPのネームサーバーは、175.45.176.15 と 175.45.176.16 から移行されました。これは、これらの IP アドレスが伝統的に北朝鮮のインターネットトラフィックのインバウンドとアウトバウンドの両方でかなりの部分を処理していたためです。過去3年近くにわたり、平均して175.45.176.15と175.45.176.16が北朝鮮のインバウンドおよびアウトバウンドトラフィック全体の30%を処理しており、2018年6月に評価した2台のマシンにとって大きな負荷が、海外ユーザーと国内ユーザーの両方にページの読み込み遅延と遅延の問題を引き起こした可能性が高いと評価しました。

過去6ヶ月間に観察されたネットワーク管理の変化は、おそらく国内外の北朝鮮のユーザーからの需要の増加に対応したものだと評価しています。たとえば、インターネットでアクセス可能なメールサーバーを設定すると、ユーザーはそのドメインのユーザーにメールを送信できるようにしたいと考えており、ユーザーはリモートでメールにアクセスできるようにしたいと考えています。この需要の増加は、過去3年間のインターネット活動の300%の増加を通じて観察されており、これは北朝鮮のエリートの間でのインターネット使用の正常化と専門化も反映していると評価しています。

パターン・オブ・ライフ分析

過去3年間、私たちは北朝鮮の指導者たちの日常的なインターネット利用パターンの進化も監視してきました。以下は、北朝鮮の指導者による1日のインターネット利用のパターンを1時間ごとに示した2つのグラフである。最新のチャート(2019年1月から10月までのデータから作成)で注目すべきは、日々の活動のピークと谷のほとんどが緩和された度合いです。

2019年1月から10月までの時間別の毎日のインターネット使用量(平均ではありません)。

2018 年 3 月から 8 月までの時間単位の毎日のインターネット使用量 (平均ではありません)。

2019年、北朝鮮の指導者たちは、2017年に比べて、勤務時間中や勤務日の平均でインターネットを利用する回数が増えました(以下の日別活動状況のグラフを参照)。

2019 年 1 月から 10 月までの曜日別の 1 日あたりのインターネット使用量 (平均ではありません)。

2018 年 3 月から 8 月までの日別のインターネット使用量 (平均ではありません)。

このシフトは2018年に初めて観察されましたが、上記のデータは、これらの変化するパターンが異常ではなかったことを示しています。現在、インターネットの利用が最も高いのは平日の勤務時間で、週末や午後遅くから夕方にかけて活動が最も多かった2017年からは大きく変化しています。

活動量の300%の増加、TransTelekomインフラストラクチャを介した追加の/24サブネットのルーティングによって提供される帯域幅と容量の増加、および以前は未解決のIPスペースの最近の利用と組み合わせると、インターネットはもはや単なる魅力や余暇活動ではなく、北朝鮮の指導者にとって重要なツールになっていると評価しています。

ツールとしてのインターネット

上記のすべての調査結果と私たちの以前の研究は、北朝鮮の指導者がインターネットを使用する方法について、はるかに広範な結論を示しています。北朝鮮の政治・軍事エリートにとって、インターネットは重要なツールとなっている。これには、インターネットを収益源として利用するだけでなく、北朝鮮の核・弾道ミサイル計画の開発やサイバー作戦など、禁止されている知識や技術を習得するための手段として利用することも含まれます。

さらに、我々は、北朝鮮が多国籍組織や西側諸国によって課せられた国際的な金融規制や制裁体制を回避するためのインターネットベースのモデルを開発したと評価する。

収益創出

私たちは、北朝鮮モデルがインターネットベースの収益創出の主要な源泉として、3つの主要な運用上の柱を使用していることを立証しました。これには、次のものが含まれます。

銀行業務
暗号通貨
低レベルの情報技術(IT)業務と金融犯罪

銀行業務

国連安全保障理事会の北朝鮮専門家パネルによると、過去4年間で、少なくとも35カ国の金融機関や仮想通貨取引所が北朝鮮のサイバー作戦の被害を受けており、金正恩政権に20億ドルもの利益をもたらしています。金融機関への攻撃は、SWIFT(Society for Worldwide Interbank Financial Telecommunication)ネットワークを介して行われており、SWIFT端末への最初のアクセスを取得した後、北朝鮮のオペレーターは一連の詐欺取引を実行しました。これらの取引により、被害者の銀行からダミー口座に送金され、ダミー口座はその後すぐに北朝鮮の工作員によって現金化されました。司法省が2018年9月に北朝鮮のオペレーター、パク・ジンヒョク氏(34歳)を起訴した情報によると、オペレーターは北朝鮮のIPスペースを使用して、被害者のWebサイトにアクセスしたり、従業員にフィッシングメールを送信したり、ネットワーク偵察を行ったりすることがよくありました。

北朝鮮に起因する既知の銀行業務に関する公開情報と非公開情報の両方を調査することで、過去4年間の業務に関する一連の一般的な戦術、技術、手順(TTP)を特定しました。

我々は、これらの銀行業務は北朝鮮によって十分に研究され、資源が供給されていると評価している。攻撃者は、標的のネットワーク内で9か月から18か月を費やし、さらなる偵察、横方向の移動、特権の昇格、各組織の特定のSWIFTインスタンスの調査、セキュリティ手順の無効化を行った可能性があります。
私たちは、北朝鮮の攻撃者が戦略的ウェブ侵害(SWC)を通じて中央銀行や銀行規制当局のウェブサイトを標的にしていることを示す新たなデータがあると考えています。これらのWeb侵害により、銀行自体へのその後の侵入の試みと、その後の不正な銀行間送金の試みが可能になった可能性があります。
公的に帰属する銀行業務の中で、最初の攻撃ベクトルはスピアフィッシング、つまり SWCでした。しかし、2018 年にトルコの銀行に対して発生した少なくとも 1 回の攻撃では、北朝鮮のオペレーターが、スピアフィッシングを介して配信された、これまで知られていなかった Adobe Flash エクスプロイト (ゼロデイ) を利用しました。
私たちは、破壊的なマルウェアが、侵入対応の取り組みを不正な取引から隠したり、そらしたりするために使用された可能性のある少なくとも2つのケースを認識しています。
北朝鮮のSWIFTの不正取引は、対象国で休日や連休に行われていることが知られています。

暗号通貨

2017年7月、私たちは北朝鮮の指導者が暗号通貨に関心を持ち、その利用を実証した最初のレポートの1つを発表しました。それ以来、北朝鮮は韓国の暗号通貨取引所からの大規模な窃盗、暗号通貨詐欺、暗号ジャッキング、暗号通貨マイニングに関与してきました。私たちの調査によると、北朝鮮は少なくとも3つの暗号通貨(ビットコイン、ライトコイン、モネロ)でコインを採掘、盗み、生成しており、国連が北朝鮮の暗号通貨の「恐喝」によって資金提供されたと評価したブロックチェーンベースの詐欺に少なくとも1つ関与していることが明らかになりました。

2019年11月現在、ビットコインの小規模なマイニングが引き続き観察されています。トラフィック量とピアとの通信速度は、過去 2 年間にわたって比較的静的なままですが、ハッシュレートやビルドを特定することはできません。この特定の採掘作業は、まだ小規模で、数台のマシンに限定されている可能性が高いと考えています。

しかし、2019年5月以降、2018年以降、Moneroのマイニング活動は10倍に増加しています。 2018年10月、北朝鮮のMoneroマイニング活動は、トラフィック量とピアとの通信速度の両方で、上記のビットコインマイニングと同程度でした。私たちの評価では、2019年11月現在、Moneroのマイニング活動が少なくとも10倍に増加していることが観察されています。すべてのアクティビティが1つのIPアドレスを介してプロキシされ、その背後に少なくともいくつかの未知のマシンがホストされていると思われるため、ハッシュレートを決定することはできません。

Moneroは、少なくとも2017年8月以降、WannaCry攻撃によるビットコインの利益がビットコインミキサーを通じて洗浄され、最終的にMoneroに変換されて以来、北朝鮮のオペレーターによって使用されてきました。モネロは、モネロが真に匿名であるという点でビットコインと区別されます。すべての取引はブロックチェーン内で暗号化されるため、取引の送信者または受信者のみが相手を発見できます。 Moneroは、専門化されていない機械で採掘するように設計されており、マイニングポートが容量によって拡張される傾向があるという点でも異なります。たとえば、多くのマイナーは、ローエンドのマシンにはポート3333 を使用し、ハイエンドで大容量のマシンにはポート7777 を使用します。

2018年と同様に、ポート7777でのマイニングの増加が観察されたことは、より大容量のマシンがマイニングを行っており、ハッシュレートも高いことを示唆しています。私たちが観察したポート番号とアクティビティは、ハッシュレートを決定するには不十分でした - 私たちが評価できたのは、マイニングが発生していたということだけでした。しかし、匿名性と非専門マシンでマイニングできるという2つの要素が、北朝鮮のユーザーにとってMoneroをビットコインよりも魅力的にしている可能性が高いと考えています。

2019年8月の国連専門家パネルの中間報告書によると、ある加盟国が「朝鮮民主主義人民共和国軍の専門部門」も暗号通貨のマイニングに関与していたことをパネルに特定しました。北朝鮮のIP空間から観察されたビットコインまたはMoneroのマイニング活動は、この軍の部門によって行われている可能性があります。しかし、私たちが持っているデータ以上の洞察はなく、観測された採掘にどの北朝鮮のエンティティが責任があるかを確認することはできません。

また、北朝鮮のオペレーターは、被害者を騙して悪意のある暗号関連ソフトウェアをインストールさせるために設計された多くの秘密の手法も採用しています。クリプトジャッキングとして知られる1つは、知らないユーザーのコンピューターを乗っ取って暗号通貨をマイニングするというもので、韓国と世界のユーザーを大きく標的にしています。クリプトジャッキングにより、攻撃者は被害者のマシンの計算能力とエネルギーを活用できるため、暗号通貨のマイニングの機会費用が大幅に削減されます。

2018年後半に登場した2つ目の手法は、「取引アプリケーション」と呼ばれる一般的な暗号通貨ツールの悪意のあるバージョンを利用したものでした。この場合、北朝鮮のオペレーターは、多数の暗号通貨を取引するための単一のポイントを提供する、正当で機能的なアプリケーションを開発しました。インストール時に、アプリケーションは更新を確認し、代わりに FALLCHILLと呼ばれる有名な北朝鮮のリモートアクセストロイの木馬(RAT)をインストールしました。この悪意のある取引アプリケーションは、標的となった暗号通貨取引所のネットワークへのアクセスを促進しましたが、この例では攻撃が成功したかどうかは明らかではありません。

ブロックチェーン分析会社のChainalysisは、 2019年3月にシンガポールを拠点とするDragonEx という取引所から同様の手法を使用して、いくつかの暗号通貨で約700万ドルを盗んだことを文書化しました。このケースでは、北朝鮮のオペレーターが Worldbit-botと呼ばれる機能的な自動暗号通貨取引ボットを作成し、これにはDragonExネットワークへのアクセスを容易にするRATも含まれており、最終的には700万ドル相当のコインが盗まれました。

私たちは、暗号通貨は、北朝鮮にとって独立した規制の緩い収益源としてだけでなく、違法に入手した資金を移動および使用するための手段としても貴重なツールであると評価しています。国連は、「暗号通貨攻撃により、北朝鮮は攻撃の収益を海外でより容易に使用できるようになる」と結論付け、北朝鮮の人々は、資金を追跡する試みを回避するために、数千件の取引を開始したり、複数の国を経由するルーティングを行ったり、異なるコインに交換したりするなど、多大な努力を払っていると結論付けています。

低レベルのIT業務と金融犯罪

2012年頃から記者、学者、研究者が行った一連の脱北者インタビューは、北朝鮮のサイバー作戦の目標と人員配置を外部に垣間見せている。脱北者たちは、主に海外の施設に住むオペレーターとプログラマーで構成される北朝鮮の作戦装置のイメージを構築し、金正恩政権に収益をもたらすという包括的な目標を任務としている。

脱北者たちは、ビデオゲームの偽造やユーザーへの詐欺が、金正恩政権の収益創出にとってどれほど重要になっているかを詳述している。中国の家で何十人もの他の北朝鮮のハッカーと一緒に働いていたある脱北者は、これらの男たちは年間約10万ドルを稼ぐ必要があり、その80%が金正恩政権に送り返されていると報告した。この要件を満たすために、男たちは偽造ビデオゲーム、武器、ポイント、ギアなどのデジタルアイテムを盗むボットを作成し、それらを転売して利益を得たり、ゲームソフトウェアの新しい脆弱性を発見して販売したりしました。さらなる報告によると、北朝鮮のオペレーターは、韓国のオンラインカジノ、ゲーマー、現金自動預け払い機(ATM)ユーザーも標的にして資金を生み出していることが確認されています。

2018年9月、ウォール・ストリート・ジャーナル紙は、北朝鮮の工作員がUpWorkやFreelancerなどの「ギグエコノミー」ITフリーランスウェブサイトを利用して、知らない世界中のユーザーから仕事を募っていたと報じた。特に、一部の仕事には、「カナダの電子商取引プラットフォーム Shopifyでの一括購入を容易にするボット」などのWebサイトおよびアプリケーション開発が含まれていました。米国の求人検索会社のWebサイト。そしてグラフィックデザインプロジェクト。」この場合、これらの北朝鮮人は中国北東部の瀋陽という都市で活動していました。

これは、完全にではないにせよ、サイバー作戦を実施するために北朝鮮人を海外に派遣することに大きく依存している運用モデルの絵を描いています。

禁止されている技術や知識へのアクセス

脱北者たちはまた、金正恩政権のサイバー作戦において外国が果たす役割について、多くは知らず知らずのうちに広く語ってきた。サイバーの観点から見ると、金正恩政権は、国営事業者の訓練と受け入れの両方に第三国を利用している。

北朝鮮は、サイバーオペレーターの訓練のために第三者を利用しているだけでなく、国連の制裁で禁止されている核関連の知識を獲得するためにも利用している可能性がある。 2017年9月の調査で、ウォール・ストリート・ジャーナルは、北朝鮮人が「北朝鮮の機微な核活動の拡散や核兵器運搬システムの開発に貢献し得る」科目、特に中国で「高度な物理学、高度なコンピューターシミュレーション、関連するコンピューターサイエンスの教育や訓練を含む」科目の留学に従事していることを発見した。地理空間ナビゲーション、原子力工学、航空宇宙工学、航空工学、および関連分野」

さらに、脱北者は、サイバーオペレーターが大学卒業後に高度なトレーニングを受けるために海外に送られることが多いと報告しています。脱北者が明示的に名前を挙げた国には、中国、ロシア、インドが含まれている。

北朝鮮人を海外に派遣してサイバー作戦の訓練と実施を行うというこの運用モデルは、これらのハッカーが政権のためにお金を稼ぐ手段と、私たちが分析した北朝鮮のエリートウェブトラフィックを比較すると、特に関連性が高くなります。これまでの研究では、世界中の国々における北朝鮮の物理的および仮想的な存在を特定するためのヒューリスティックを開発しました。このヒューリスティックには、これらの国との間の北朝鮮のインターネット活動の平均以上のレベルだけでなく、ニュースアウトレット、地区または市政府、地元の教育機関など、多くのローカルリソースの閲覧と使用も含まれていました。

この技術により、北朝鮮人が物理的に居住している、または居住している可能性が高い国を特定することができました。 2019年を通じて、私たちは技術とこの分析を洗練させ続け、2019年には主に、インド、中国、ネパール、ケニア、モザンビーク、インドネシア、タイ、バングラデシュの8カ国で観察された活動の継続を観察しました。しかし、この分析は過去には有用であったが、2つの理由から、これらの国々における北朝鮮の行動について、徐々に実質的な洞察が得られなくなってきた。

第一に、北朝鮮の支配層エリートが一様に強力なインターネットセキュリティ手続きを実践しているわけではないにもかかわらず、北朝鮮の人々とすべてのインターネットユーザーの両方にとって、広範な傾向はセキュリティの強化に向かっている。これは、北朝鮮のインターネット活動を追跡し、新たな洞察を明らかにすることが、時間の経過とともに難しくなっていることを意味します。

次に、大手テクノロジー企業は、DNS、コンテンツ配信、クラウドサービスなど、ますます幅広いサービスを顧客に提供しています。ネットワークの観点からは、一般的なDigitalOcean、Cloudflare、またはGoDaddyインフラストラクチャの背後にあるエンドコンテンツを見分けることは非常に困難です。ポートやプロトコルでさえ、提供されるデータ量は限られており、多くの場合、DigitalOceanボックスで終了するセッションでは何も表示されません。

我々のデータに基づき、我々は、中国とインドの両方が、故意にせよ無意識にせよ、北朝鮮の作戦をホストし、可能にしていると評価し続けている。特にインドは、北朝鮮のサイバー作戦のホストであり、被害者であり続ける可能性が高い。

運用上のセキュリティ

2018年初頭、私たちは、北朝鮮の人々が、仮想プライベートネットワーク(VPN)、仮想プライベートサーバー(VPS)、トランスポート層セキュリティ(TLS)、オニオンルーター(Tor)などの運用セキュリティ技術の使用を劇的に増加していることに気づきました。 2018 年後半までに、運用上安全な行動は、トラフィック全体の 13% から 5% 強にまで減少しました。私たちは、北朝鮮の指導者による安全なブラウジング技術の使用を監視することは、技術に精通していることと対応力があること、そしてエリートの行動に対する国家レベルのコントロールの程度という2つのことの指標であると考えています。

2019年には、安全なブラウジング技術の使用がわずかに回復し、全インターネットトラフィックの9.5%になりました。その中で、HTTPSは北朝鮮の指導者によって最も広く使用されました。これは、世界の上位100万のウェブサイトのほぼ半数がデフォルトでHTTPSを使用しているという事実に関係していると思われます。

2019年に北朝鮮の運用セキュリティ行動に見られたもう一つの変化は、DNSトンネリングの組み込みです。 DNS(Domain Name System) は、コンピュータがドメイン名を解決できるようにするために作成されました(pyongyangtimes[.]com[.]kp、たとえば、IP アドレス (175.45.176.67) にアタッチします。 DNSの当初の目的は、ドメインとIPアドレスの検索と関連付けを容易にすることであり、そのプロセスを保護することではありませんでした。その結果、DNSはネットワークの運用にとって非常に重要であるため、DNSポート(通常はポート53)は開いたままになり、トラフィックは比較的精査されません。 DNSトンネリングとは、DNSプロセスをドメイン解決ではなく、ネットワークやデバイス間のデータ転送やトンネルに使用することです。

北朝鮮の場合、2019年半ばにユーザーがDNSトンネリングを導入したことが確認されました。繰り返しになりますが、DNSは通常、十分に精査されないため、ファイアウォールやサービスの制限を回避するための理想的なプロトコルであり、DNSトンネリングツールキットは広く利用可能です。 DNSトンネリングは新しい技術ではありませんが、北朝鮮のユーザーによって採用されたのはごく最近のことだと考えています。北朝鮮のDNSトンネリング活動の場合、宛先IPの大部分はShodanによってVPNエンドポイントおよびMicroTikデバイスとしても識別されており、このソリューションが代替VPNとして意図されていた可能性が高いことを示しています。

DNSトンネリングはほとんどの平均的なインターネットユーザーが慣れ親しんでいる技術ではないため、この特定の手法を使用すると、一部の北朝鮮のエリートインターネットユーザーがどれほど技術的に精通しているかを知ることができます。私たちは、リーダーシップがDNSトンネリングを採用する理由が2つあると評価しています。

侵入アクティビティを難読化するため。 DNSトンネリングは、被害者のネットワークからデータを盗み出したり、感染したエンドポイントとC2(コマンド&コントロール)サーバーとの間に通信チャネルを作成したりするために使用できます。 DNS経由の悪意のある通信は、ほとんどの組織がネットワーク接続を容易にするために寛容なDNSセキュリティポリシーを採用しているため、ブロックまたは特定される可能性が低くなります。
政府が課すセキュリティ管理やコンテンツ制限を回避するため。北朝鮮のインターネットユーザーは最高指導者クラスの一員ですが、金正恩政権が許可している範囲外のコンテンツにアクセスしたいと考える人もいる可能性があります。例えば、2016年に金正恩政権は、国内ユーザーがFacebook、YouTube、Twitterにアクセスするのをブロックし始めたことが分かっています。しかし、ネットワークトラフィック分析を使用することで、それ以来、北朝鮮のユーザーがこれらのプラットフォームを閲覧しているのが観察されています。 DNSトンネリングは、より精通したインターネットユーザーが、めったに制限されないプロトコルを使用して、これらの制限やその他のセキュリティ制御などのコンテンツ制限を回避する方法になる可能性があります。

北朝鮮のインフラを標的としたDDoS攻撃

北朝鮮のWebサイトがサービス拒否(DoS)攻撃や分散型サービス拒否(DDoS)攻撃の標的になることは珍しくありません。たとえば、5月28日、平壌タイムズ、ネナラ、およびいくつかの北朝鮮の保険会社のWebサイトをホストしていた175.45.176.67は、1時間続くDDoS攻撃の標的となり、DNSトラフィックレベルは少なくとも毎秒550メガビットの観測速度でピークに達しました。 DNSフラッディングは、北朝鮮のインフラストラクチャに対して利用される最も一般的なタイプのDDoSです。

2019年4月下旬から、少なくとも世界161か国のデバイスから発せられ、単一の北朝鮮のIPアドレスを標的とする協調コネクションレスLDAP(CLDAP) アクティビティの急増によって特定された、ユニークなタイプのDDoS攻撃が観測されました。この活動は北朝鮮現地時間の正午頃に開始され、わずか25分間続き、CLDAPのトラフィックレベルは少なくとも毎秒1.5ギガビットの観測速度でピークに達しました。これは、北朝鮮本土がホストするIPアドレス空間の日常的な観測基準よりも数桁高い数値です。

CLDAP は、通常、企業ネットワーク上でディレクトリサービス (Active Directory からのユーザ名とパスワードへのアクセスなど) に使用されます。しかし、2016 年と 2017 年に、セキュリティ企業は CLDAP と LDAP が DDoS 攻撃で悪用されていることを確認し始めました。 CLDAP経由でDDoSを実行する手法では、攻撃者は、コネクションレス型LDAPサービスが実行されているオープンリフレクタサーバーへのCLDAPリクエストで、送信元IPアドレスを意図した被害者のIPに置き換えるだけです。スプーフィングされたアドレスは、CLDAPリフレクタサーバを騙して、CLDAPレスポンスをリクエスタではなく、意図した被害者に送り返させます。

また、CLDAPリクエストの平均パケットサイズは約80バイトで、対応するレスポンスパケットの平均サイズは約1472バイトであることも確認しました。これは、DDoS攻撃の40分間に攻撃者によって約18倍の増幅率が達成されたことを示唆しています。 2017 年のインタビューで、Akamai のセキュリティ対応担当者は、観測した最大の CLDAP 攻撃が毎秒 3 ギガビットの速度を達成したことを伝え、その規模の攻撃は「小規模なサイトをオフラインにし、他のサイトに遅延の問題を引き起こす可能性がある」と評価しました。

観測された攻撃の速度は毎秒1.5ギガビットであり、少なくとも北朝鮮の一般向けインターネットインフラストラクチャに混乱を引き起こすのに十分であると評価しています。

2019 年 4 月下旬に北朝鮮のグローバルインターネットに面したインフラストラクチャに対して使用された反射型 DDoS 増幅攻撃手法の最上位図。また、2019年5月7日の朝に40分強続いた攻撃と、翌5月8日の夕方に約1時間続いたもう1つの、反射型CLDAP DDoS増幅攻撃の疑いがさらに2つあることも特定しました。これらの攻撃はどちらも、使用される一意のCLDAPリフレクターサーバーの数という点では桁違いに小さかったのですが、データサイズの相対的なCLDAP増幅率は18倍で一貫していました。興味深いことに、5月8日の攻撃で使用されたリフレクターサーバーのほぼすべてが、その前日の北朝鮮のIPに対する攻撃でも使用されていました。さらに、使用されたリゾルバの総数には桁違いがあるにもかかわらず、5月7日の攻撃で使用されたリゾルバの62%が、それ以前の4月23日の攻撃でも使用されていたことが判明しました。

攻撃	日付(ズールー語)	ピーク活動時間	DDoS 増幅率	使用された観測された CLDAP リフレクタの総数
攻撃1	23/04/2019	40分間	18.88	10529
アタック2	06/05/2019	41分	18.35	1338
攻撃3	07/05/2019	61分	18.34	598

4月と5月の攻撃を誰が実行したのかについての情報はありません。繰り返しになりますが、DDoS攻撃は北朝鮮では珍しいことではなく、プロトコルの独自性と攻撃率という理由だけで、今回の攻撃を探求することを選択しました。

北朝鮮の保険業界

北朝鮮は2019年に保険業界のデジタル化と国際化を開始したが、これはおそらく外国投資の増加を促し、金正恩政権に不正に収益をもたらすためであると評価している。

NKニュースによると、北朝鮮には5つの保険会社がある。

韓国国民保険公社(KNIC)は、1947年に設立された損害保険
2015年5月設立のレインボーインターミディエイターズ、消防、自動車、請負業者、機械故障、生命、旅行、人身事故、観光客、再保険
2016年10月に設立されたSamhae Insurance Companyは、船体、貨物、賠償責任、航空
2016年8月に設立されたPolestar Insurance Companyは、火災、エンジニアリング、クレジット、農業の分野で保険および再保険サービスを提供しています
2017年10月に設立されたFuture Re Companyは、自由貿易保険および条約再保険

2017年8月、国連は、偵察総局(RGB)第39事務局とのつながりと、北朝鮮のミサイル計画の資金提供に関連する保険金請求詐欺に関与していることから、KNICを制裁対象に指定した。数年前に設立されたにもかかわらず、当社のデータによると、過去4社の保険会社は2018年後半から2019年初頭にかけて世界のインターネット上に存在していませんでした。

昨年、Samhae、Polestar、Future Reはすべて、グローバルなインターネットWebサイトとメールサーバーを買収しました。 2019年11月現在、3社すべてのWebサイトは175.45.176.67でホストされています。 Future Reは、2018年12月下旬に175.45.176.20にメールサーバーを設立し、2001年に北朝鮮初のインターネットサービスプロバイダー(ISP)の1つとなった中国の瀋陽に拠点を置くインターネット企業であるSilibankのメールサーバーもホストしています。 Silibankは、Rainbow Intermediariesを含め、北朝鮮の顧客向けに電子メールサービスを引き続き提供しており、Rainbow Intermediariesは、SilibankのドメインをWebページの電子メール連絡先としてリストしています。

2019年7月に NKニュースが撮影したレインボー・インターミダリーズのウェブサイトのスクリーンショット。 4つの保険会社すべてのグローバルインターネットインフラストラクチャは、昨年中に作成されたばかりです。さらに、当社のデータによると、2019年2月以降、インド、ロシア、イランのユーザーからFuture ReのメールサーバーやSamhae、Polestar、Future Reのウェブサイトへのトラフィックが増加していることが示されています。独立した企業体であるどころか、4つの保険会社すべてのデジタルフットプリントは、それらが同じインターネットインフラストラクチャから運営および管理されていることを示唆しており、おそらく単一の国家主導の取り組みを表している。

2018年12月、ポールスターのキム・ギョンフン社長は、北朝鮮全土に11の支店と70の現地事務所を設立し、「国際的に有名な保険会社とのネットワークを構築する」ことで「サービスを国際市場にさらに拡大する」計画であると述べた。同様に、三海保険の社長は韓国のメディアに対し、同社は北朝鮮のすべての「主要港湾都市、漁業基地、輸送基地」に支店と代理店を持ち、2018年11月に漁船の再保険を開始したと語った。

しかし、北朝鮮の保険会社が興味深いトピックであるのは、彼らが歴史的に金正恩政権の資金を生み出す上で果たしてきた役割と、外国投資を奨励するためにどのように必要かということです。 2017年、北朝鮮の外交脱北者は、金正恩政権がKNICを使って保険金詐欺から年間数千万ドルを稼ぐ方法を説明した。

「北朝鮮には国営保険会社が1社しかないため、事故をでっち上げても、その請求を検証する方法はありません。国家インフラのための国際保険や再保険を購入した後、(疑惑の事故に関する)文書が偽造され、州は年間数千万ドルを稼いでいる。

主要な国営保険会社であるKNICは、30年間にわたり、国際的な再保険会社と購入した再保険契約を利用して、虚偽の可能性のある請求を行い、金正恩政権に数千万ドルを生み出してきた。タイムズ紙によると、2014年、KNICのグローバル資産は7億8700万ポンド、つまり約13億ドルに達しました。

北朝鮮の保険金詐欺の検証可能な事例を見つけるのは難しいですが、過去10年間にこの詐欺の範囲を示すいくつかの事例があります。 2011年、マレーシアと北朝鮮の共同建設会社が、ウガンダの首都郊外に213戸のコンドミニアムを建設する1800万ドルの契約を獲得した。翌年、この建設会社は過大評価された一連の保険を購入し、工事が始まる前に20%の前払いを受けました。何年にもわたる交渉、裁判、そしておそらく詐欺の後、2018年、北朝鮮が所有する建設会社とウガンダの住宅公社は、コンドミニアムを完成させることなく、数百万ドルの保険金を請求したにもかかわらず、プロジェクトから撤退した。

最も悪名高いケースの一つは、2005年に平壌で起きたヘリコプター墜落事故で、緊急救援物資が入っていた倉庫が破壊されたことについて、KNICが損害賠償請求を行ったことだ。 KNICは、国際的な保険会社のコンソーシアムと約6,000万ドルで商品に保険をかけていました。保険会社は、過大評価された物的損害と疑わしい文書を理由に、数年間支払いを拒否しましたが、最終的にはKNICと約 5,700万ドルで和解しました。当時、北朝鮮は欧米の保険会社に対して約1億5000万ドル相当の請求を多数行っていると考えられていた。

一部の中国の投資家によると、これらの追加の保険会社は、北朝鮮の投資に対する信頼を高める効果もあるという。具体的には、「新しい保険仲介業者は、北朝鮮経済内の商業サービスの複雑さと競争が激化している兆候を示している」。

金正恩政権が2019年中に残る4つの国営保険会社のアクセシビリティを向上させることに明らかに焦点を当てているのは、2017年のKNIC制裁後の収益創出手段としての保険詐欺を活性化し、北朝鮮の潜在的な投資家を安心させる試みである可能性があると私たちは考えています。

今後の展望

過去2年半にわたり、北朝鮮に関する私たちの調査は、北朝鮮の最高指導者のデジタルライフを垣間見る比類のない窓を提供してきました。我々は、「最大圧力」キャンペーンの期間、ミサイル発射と実験活動が最も多かった期間、米国と北朝鮮の指導者間の史上初の一連の首脳会談など、米朝関係におけるユニークな時期におけるリーダーシップ活動を追跡し、分析してきた。

この調査シリーズの核心は、北朝鮮の最高指導者がいかに適応力があり、革新的であるかを示していることです。彼らは、新しいサービスやテクノロジーが役立つときはすぐに受け入れ、そうでないときはそれらを捨てます。金正恩政権は、インターネットを利用し、搾取するためのユニークなモデルを開発しました - それは犯罪シンジケートのように運営されている国家です。

北朝鮮はまた、多国籍組織や西側諸国が北朝鮮に課した制裁を回避するための、新しく創造的で革新的なインターネットベースのモデルを開発しました。このモデルには、銀行強盗や詐欺などの露骨な犯罪と、暗号通貨マイニングやフリーランスのIT作業などの非犯罪活動の両方を通じて収益を上げることが含まれます。

また、このモデルは、北朝鮮の核・弾道ミサイル開発やサイバー作戦など、禁止されている知識や技術を習得するための手段にもなる。最も基本的な点では、北朝鮮は、制裁回避のメカニズムとしてインターネットを活用するモデルを開発しましたが、これは特徴的ですが、例外的ではありません。このモデルはユニークですが、再現性があり、最も懸念されるのは、制裁を回避するためにインターネットを使用する他の経済的に孤立した国の例として役立つことです。

私たちは、他の孤立した国々が、北朝鮮が利用したのと同じ犯罪的および非犯罪的な手法の一部を使用して、収入を生み出し、自国の制裁を回避するのを目にし始めると信じています。

例えば、2019年の間に、イランは国際的な決済を促進し、米国の金融規制を回避する方法として暗号通貨を追求し始めたと評価しています。 1月のニューヨーク・タイムズ紙の記事によると、ヨーロッパとアジアのビジネス関係者は、イラン企業への支払いに暗号通貨を使用することに「ますます協力的」で支持的になっている。7月、イラン政府は、金に支えられる国内暗号通貨を発表しました。そして8月には、イランが暗号通貨マイニングを産業として合法化しました。

ネットワーク防御に関する推奨事項

Recorded Futureは、組織がネットワーク上での潜在的な北朝鮮の活動を特定する際に、次の措置を講じることを推奨しています。

侵入検知システム (IDS) と侵入防止システム (IPS) をアラートとして設定し、確認後に、次の著名な北朝鮮の IP 範囲からの接続試行をブロックすることを検討してください。
175.45.176.0/22
210.52.109.0/24
77.94.35.0/24
具体的には、北朝鮮の暗号通貨マイニングの取り組みを検出して防止するには、侵入検知システム(IDS)と侵入防止システム(IPS)を設定して、TCPポートを介してネットワークに接続している次の著名な北朝鮮のIP範囲からの不正な接続試行を警告し、レビュー後にブロックすることを検討してください。
ビットコインの8332および8333
Monero の 18080 および 18081
ライトコインの9332および9333

注:前述のポートは、特定の暗号通貨に設定されたデフォルトのポートです。暗号通貨マイニングソフトウェアがデフォルトのポートを上書きするように変更された可能性があります。さらに、他のサービスも、エンタープライズ設定に基づいてリストされたポートで動作するように構成されている場合があるため、リストされたポートのネットワークトラフィックのIDSおよび/またはIPSアラートは誤検出を引き起こす可能性があります。

DNSトンネリングは、ネットワークトラフィックログまたはパケットキャプチャを調べることで検出できます。高スループットのDNSトンネリングは、このケースで北朝鮮のユーザーに対して特定されたものですが、検出できるのは、通常、「(1)量、(2)メッセージの長さ、(3)メッセージ間の平均時間の短縮」に関して、DNSトラフィックに大きな変化を引き起こすためです。
一般的なDNSセキュリティの場合:
DNS ファイアウォールまたはフィルター (DNS 応答ポリシーゾーン (RPZ) など) を DNS インテリジェンスフィードと共に使用します。
すべてのDNSリクエストと接続をログに記録し、ログを保持して将来の調査を可能にします。可能であれば DNSSEC を使用してください。
潜在的なCLDAP DDoS攻撃から防御するには:
CLDAP サービスをグローバルインターネットに公開しないでください。これにより、これらのマシンが無意識のうちにCLDAP DDoS攻撃に参加していないことが保証されます。 DDoS軽減サービスを採用します。
組織のVPNサービスとプロトコルを把握し、非標準のVPNトラフィックをブロックまたは慎重に精査します。
ネットワーク内から暗号通貨マイニングソフトウェアがダウンロードおよび操作される可能性に対抗するために、企業全体にソフトウェアホワイトリストプログラムを実装することを検討してください。
多くの暗号通貨マイナーは、調整のためにインターネットリレーチャット(IRC)を使用しています。 IRCが企業に必要なアプリケーションでない限り、IDSおよびIPSを介してデフォルトのIRC TCPポート6667をブロックすることを検討し、IRCを使用した暗号通貨マイニングアクティビティを軽減することを検討してください。
北朝鮮のオペレーターは、特に金融機関と韓国を標的とした作戦で、FlashとSilverlightの両方のエクスプロイトを一般的に利用してきました。 Recorded Futureは、これらのプログラムに頻繁にパッチを適用するか、一般的に使用を軽減することを推奨しています。

さらに、組織には、次の一般的な情報セキュリティのベストプラクティスガイドラインに従うことをお勧めします。

すべてのソフトウェアとアプリケーションを最新の状態に保ちます。特に、オペレーティングシステム、ウイルス対策ソフトウェア、およびコアシステムユーティリティです。
電子メールの通信をフィルタリングし、添付ファイルにマルウェアがないか精査する。
システムのバックアップを定期的に作成し、バックアップをオフライン、できればオフサイトに保存して、ネットワーク経由でデータにアクセスできないようにする。
綿密なインシデント対応とコミュニケーション計画を立てる。
会社の機密データの厳格な区分化を遵守します。特に、従業員のアカウントやデバイスにアクセスできる人は、どのデータにアクセスできるかを調べます(たとえば、フィッシングによるデバイスやアカウントの乗っ取りなど)。
役割ベースのアクセス、全社的なデータアクセスの制限、機密データへのアクセス制限の導入を強く検討する。
ホストベースの制御を採用する。攻撃を阻止するための最良の防御策と警告信号の1つは、クライアントベースのホストロギングと侵入検出機能を実行することである。
ネットワーク IDS、NetFlow 収集、ホストロギング、Web プロキシなどの基本的なインシデント対応と検出のデプロイと制御を実装するとともに、検出ソースを人間が監視します。
パートナーまたはサプライチェーンのセキュリティ基準に注意してください。エコシステムパートナーのセキュリティ標準を監視および実施できることは、組織のセキュリティ体制の重要な部分です。