Adversary
Ricochet Chollima
発生地
北朝鮮
Community Identifiers
ScarCruft, APT37, Group123, Reaper, Red Eyes
Ricochet Chollima は、朝鮮民主主義人民共和国(DPRK)の標的型侵入敵対組織で、少なくとも2016年から諜報活動に従事しています。
Ricochet Chollimaの活動はほぼ全て大韓民国(RoK)を標的としていて、韓国の政治家、非営利団体、学術機関、ジャーナリスト、北朝鮮亡命者が中心です。
この対象範囲はVelvet Chollimaと類似していますが、Ricochet Chollimaは一貫して、最も技術的に進んだ北朝鮮敵対組織としてのスキルと作戦の複雑性を示しています。
Ricochet Chollimaはクラウドベースのファイルホスティングサービスを頻繁に利用します。この独特の手口が、Ricochet Chollimaのマルウェアの特徴的な要素となっています。Ricochet Chollimaの活動には、悪意のある韓国語のアレアハングル(HWP)ドキュメントを利用してCirrus RATやNimbus RATなどのカスタムインプラントを投下するスピアフィッシング活動が含まれます。
最近の活動
2020年12月、CrowdStrike IntelligenceチームはRicochet Chollimaが「PoorWeb RAT」という名の新しいツールを使っていることを特定しました。PoorWebは、悪意のあるHWP文書に埋め込まれたOLEオブジェクトを介して配信され、第一段階のドロッパーとそれに続くPoorWebペイロードを読み込みます。これは過去にRicochet Chollimaが使っていた手口です。このマルウェアによりシステム情報の収集、スクリーンショットの撮影、ドライブとファイルの列挙、コマンドの実行が可能です。PoorWebの対象範囲は漠然としていますが、囮文書には朝鮮半島の統一に関する内容が含まれており、北朝鮮に同調する人々が攻撃の中心になっていることを示唆しています。
Targeted Nations
香港
北朝鮮
ロシア連邦
韓国
米国
サウジアラビア
トルコ
アラブ首長国連邦
ベトナム
対象産業
- 反体制派
- ファイナンシャル・マネジメント&ヘッジファンド
- 軍事
- NGOおよび非営利団体
- シンクタンク
Artwork

Crowdstrike Ricochet Chollima
I have read and accept the terms and conditions