incidentlog.jp最終更新 2026-10-13
IncidentLogインシデントログ

lazarus

Lazarus

国家背景活動中 2022-10-14〜
別名
ラザルス（警察庁）、Lazarus Group（MITRE）
関連する可能性のある名称
Hidden Cobra（MISP Galaxy）、Andariel（MISP Galaxy）、Bluenoroff（MISP Galaxy）、Labyrinth Chollima（MISP Galaxy）、Unit 121（MISP Galaxy）、Bureau 121（MISP Galaxy）、Dark Seoul（MISP Galaxy）、Group 77（MISP Galaxy）同一性は未確認
推定される背景
北朝鮮 · 北朝鮮当局の下部組織とされる 第三者分析・報道・当局
外部 ID
ATT&CK G0032 · MISP 68391641-859f-4a9a-9a1e-3e5cf71ec376

日本での活動

当サイトの事案と、リークサイトへの掲載

日本の組織に関する記録はまだありません。

公的機関の情報

注意喚起、起訴・制裁・摘発

攻撃手法

当サイトの事案集計と ATT&CK
command-and-control11 手法
  • T1001.003Protocol or Service Impersonation
  • T1008Fallback Channels
  • T1071.001Web Protocols
  • T1090.001Internal Proxy
  • T1090.002External Proxy
  • T1102.002Bidirectional Communication
  • T1104Multi-Stage Channels
  • T1105Ingress Tool Transfer
  • T1132.001Standard Encoding
  • T1571Non-Standard Port
  • T1573.001Symmetric Cryptography
collection6 手法
  • T1005Data from Local System
  • T1056.001Keylogging
  • T1074.001Local Data Staging
  • T1560Archive Collected Data
  • T1560.002Archive via Library
  • T1560.003Archive via Custom Method
discovery11 手法
  • T1010Application Window Discovery
  • T1012Query Registry
  • T1016System Network Configuration Discovery
  • T1033System Owner/User Discovery
  • T1046Network Service Discovery
  • T1049System Network Connections Discovery
  • T1057Process Discovery
  • T1082System Information Discovery
  • T1083File and Directory Discovery
  • T1124System Time Discovery
  • T1680Local Storage Discovery
lateral-movement3 手法
  • T1021.001Remote Desktop Protocol
  • T1021.002SMB/Windows Admin Shares
  • T1021.004SSH
stealth23 手法
  • T1027.007Dynamic API Resolution
  • T1027.009Embedded Payloads
  • T1027.013Encrypted/Encoded File
  • T1036.003Rename Legitimate Utilities
  • T1036.004Masquerade Task or Service
  • T1036.005Match Legitimate Resource Name or Location
  • T1055.001Dynamic-link Library Injection
  • T1070Indicator Removal
  • T1070.003Clear Command History
  • T1070.004File Deletion
  • T1070.006Timestomp
  • T1078Valid Accounts
  • T1134.002Create Process with Token
  • T1140Deobfuscate/Decode Files or Information
  • T1202Indirect Command Execution
  • T1218System Binary Proxy Execution
  • T1218.005Mshta
  • T1218.011Rundll32
  • T1542.003Bootkit
  • T1564.001Hidden Files and Directories
  • T1574.001DLL
  • T1574.013KernelCallbackTable
  • T1620Reflective Code Loading
exfiltration2 手法
  • T1041Exfiltration Over C2 Channel
  • T1048.003Exfiltration Over Unencrypted Non-C2 Protocol
execution8 手法
  • T1047Windows Management Instrumentation
  • T1053.005Scheduled Task
  • T1059.001PowerShell
  • T1059.003Windows Command Shell
  • T1059.005Visual Basic
  • T1106Native API
  • T1203Exploitation for Client Execution
  • T1204.002Malicious File
persistence4 手法
  • T1098Account Manipulation
  • T1543.003Windows Service
  • T1547.001Registry Run Keys / Startup Folder
  • T1547.009Shortcut Modification
credential-access2 手法
  • T1110.003Password Spraying
  • T1557.001Name Resolution Poisoning and SMB Relay
initial-access4 手法
  • T1189Drive-by Compromise
  • T1566.001Spearphishing Attachment
  • T1566.002Spearphishing Link
  • T1566.003Spearphishing via Service
impact6 手法
  • T1485Data Destruction
  • T1489Service Stop
  • T1491.001Internal Defacement
  • T1529System Shutdown/Reboot
  • T1561.001Disk Content Wipe
  • T1561.002Disk Structure Wipe
defense-impairment3 手法
  • T1553.002Code Signing
  • T1685Disable or Modify Tools
  • T1686.003Windows Host Firewall
resource-development8 手法
  • T1583.001Domains
  • T1583.006Web Services
  • T1584.004Server
  • T1585.001Social Media Accounts
  • T1585.002Email Accounts
  • T1587.001Malware
  • T1588.002Tool
  • T1588.004Digital Certificates
reconnaissance2 手法
  • T1589.002Email Addresses
  • T1591Gather Victim Org Information

使用ツール

名称を開くと一覧の解説へ

AppleJeus、AuditCred、BADCALL、BLINDINGCAN、Bankshot、Cryptoistic、Dacls、Dtrack、ECCENTRICBANDWAGON、FALLCHILL、HARDRAIN、HOPLIGHT、HotCroissant、KEYMARBLE、MagicRAT、Proxysvc、RATANKBA、RawDisk、Responder、TAINTEDSCRIBE、TYPEFRAME、ThreatNeedle、Volgmer、WannaCry、netsh、route

ベンダー・研究者の分析

外部の記事。題名を開くと発行元へ

インフラ

所在は無効化表記。リンクにしない

リークサイトの所在は記録していません。

解説

北朝鮮当局の下部組織とされるサイバー攻撃グループ。2022年10月14日に金融庁・警察庁・内閣サイバーセキュリティセンターが連名で注意喚起を出し、国連安保理北朝鮮制裁委員会専門家パネルの中間報告書（同年10月7日）が暗号資産関連企業や取引所を引き続き標的にしていると指摘していること、米国で FBI・CISA・財務省が同年4月18日に手口と対応策を公表していること、日本の暗号資産交換業者にも同様の攻撃が行われていることを示した。確認されている手口は、標的企業の幹部を装ったフィッシングメールを従業員に送る、SNS の虚偽アカウントで取引を装って従業員に接近する、といったソーシャルエンジニアリングでマルウェアをダウンロードさせ、それを足がかりに被害者のネットワークへ侵入するものである。MITRE ATT&CK では Lazarus Group（G0032）、MISP Galaxy では Hidden Cobra、Bluenoroff、Andariel などの別名が登録されている。手法と使用ツールは ATT&CK の記載を機械的に取り込んだもの。

出典

更新 2026-10-13