北朝鮮ハッカーが216サーバーの標的リストを10月24日に完成、米国が49件で最多

10月24日に完成した216サーバーの標的リスト

北朝鮮系のハッカーグループが、216のウェブサーバーを列挙した標的リストを10月24日に完成させていた。この5日後、Binanceから63億ドルが流出しており、この時間差が外部の関心を引くことになった。サイバーセキュリティ企業Cyfirmaが、攻撃グループの非公開チャットログを入手して調査を進めた結果、北朝鮮で最もよく知られる国家的ハッカー組織Lazarus Groupによる活動だと「高い確度」で特定した。ログは運用者が連携に使っていた非公開チャンネルから得られたもので、リストが完成した日付は特定できる一方、作業の開始時期は記録されておらず、アドバイザリはこの点を明示していない。標的の内訳は、米国が49件で最多、日本が47件、インドが31件、韓国が30件と続き、日曜日の韓国国内報道で韓国分の詳細が明らかになった。名前の挙がった4カ国だけで157サーバーを占め、米国の49件は単一国別として最大の割合だ。グループが狙ったのはPHPで動くマシンである。Tenableが引用したW3Techsの統計によれば、PHPは全ウェブサイトの約69%を支えるサーバー側言語であり、同じ脆弱性一族が一気に広範囲へ及ぶ理由はここにある。リストの全項目がエンドユーザーの端末ではなくウェブサーバーを指しており、準備作業の矛先は個人のパソコンやスマートフォンではなくインフラだった。PHP2Shellと通称される2件の重大な欠陥は、未修正の対象バージョンで稼働するサーバーを外部の攻撃者が丸ごと掌握できるものだ。なお、アドバイザリ自体は準備キャンペーンと取引所流出を結び付ける記述を一切置いていない。

PHP2Shellと5日間のパッチ期限

脆弱性2件が作戦の中核にあり、名称は「PHP処理の欠陥からホストの完全な遠隔制御へ」という攻撃経路をそのまま表している。PHPの開発チームは10月21日に両脆弱性の修正版をリリースした。その5日後、米サイバーセキュリティ・インフラセキュリティ庁CISAが、両欠陥を実際に悪用が確認された問題のカタログに追加。同庁機関が緊急のパッチ適用優先度として扱うリストであり、本番環境でPHPを運用する担当者にとって、この5日間が事実上の期限となった。遅れて適用した運用者や、PHPランタイムを再構築せずにアプリケーションだけ再起動したケースでは、露出がそのまま残った。チャットログは準備段階の目的も具体的に示している。「Operator 1」と特定された運用者は「金銭的な成果と、金銭、取引、ウォレット情報につながるあらゆるものが必要だ」と書いた。アドバイザリの解釈では、この要求は資金に到達しうる全てを意味し、取引所の認証情報、取引アクセス、先物取引口座、保存されたウォレットデータまで含む。ログの範囲は特定の地域やプラットフォームに限られていない。運用者は成果を自慢し、216サーバーの大半に「すでに仕掛けがある」、リストはその後581標的へ増えたと主張したが、Cyfirmaはいずれも検証していない。同社のリスト自体への見解は簡潔で「掲載は標的化を示すものであり、侵害を意味しない」。アドバイザリは確定した被害者を1つも挙げず、米国の49サーバーがどの業種に属するかも明かしていない。これは意図的な沈黙だ。同社の証拠基盤がサーバーのフォレンジックではなくチャットチャンネル自体だからである。Cyfirmaの脅威アドバイザリが示す対応は2段階で、まずPHP本体を修正し、次に全てのPHPプロセスを再起動する。ウェブサイトの更新だけでは扉が開いたままになると同社は警告する。

Binanceとの関連を巡る問題

CyfirmaのアドバイザリはBinanceに一切言及していない。一方、FBIは別途、同取引所の窃取について北朝鮮の関与を公言しており、米検察は収益のうち12億ドルの没収に動いている。Chainalysisは以前の調査で、Bitgetから3億8,700万ドルの窃取も北朝鮮系ハッカーの仕業と特定した。リスト完成とBinanceの損失は5日間隔で並ぶが、この時期の一致を因果関係に変える公表済みの証拠はない。216サーバー作戦の分を一切含めなくても、没収事件とBitgetを合わせた北朝鮮関連の取引所損失はすでに約16億ドルに達する。この区別は保有者にとって重要だ。侵害されたウェブサーバーが、ハードウェアウォレットやTangem Payのような製品による自己管理の暗号資産に直接届くことはない。他方、管理型の残高は取引所のインフラの上に載っており、同じネットワークに系統される集団はクロスチェーンブリッジから取引所システムまで歴史的に攻撃してきた。日曜日の時点で、Cyfirmaのアドバイザリが最後の文書化された記録である。確認済みなのは標的化、証明されていないのは侵害だ。