北朝鮮のサイバー攻撃グループ「Jade Sleet」、インドIT企業に侵入——開発者のMacを狙う2種のバックドアを使用

要点

• 北朝鮮に関連する脅威グループ「Jade Sleet」が、インドのITサービス企業へ侵入していたことがセキュリティ企業SentinelOneの調査で判明した。

• 攻撃にはApple Silicon搭載Macを標的とするRust製のバックドア「FLATROOF」および「ROOFDECK」が使用されていた。

• 攻撃者は採用面接の技術課題を装い、開発者に悪意あるTerraform設定を読み込ませる手口を用いていた。

• 使用された2つのマルウェアは、2026年春に発生した暗号資産プロジェクトKelpDAOへのハッキング事件でも確認されている。

• 北朝鮮を拠点とするサイバー攻撃グループ「Jade Sleet」が、インドのITサービス企業に侵入していたことが、セキュリティ企業SentinelOneの調査報告によって明らかになりました。同社によると、攻撃者は開発者の端末を足がかりに組織内へ侵入しており、AppleのmacOS環境を標的とした2種類のバックドア（不正侵入用の抜け道となるプログラム）を配備していたといいます。

採用面接のコーディング課題を悪用した侵入経路

SentinelOneの分析によると、Jade Sleetは採用面接を装ったソーシャルエンジニアリング（人間の心理的な隙を利用して騙す手法）を展開していました。標的となったのは、DevOpsや暗号資産、金融テクノロジー分野で職を探している技術者たちです。

攻撃者は実在する企業を騙り、採用選考における技術テスト用のインフラ構築プロジェクトとしてGitHubリポジトリを作成していました。確認されたリポジトリには「Northwind-IAC」「novacart-interview」「terraform-candidate-repo」、そして過去のインシデントで使われた「gtn-candidate-repo」などがあります。

これらのリポジトリには、細工されたTerraformの依存関係ロックファイル（.terraform.lock.hcl）が含まれていました。不審に思わない開発者がコマンド「terraform init」を実行すると、設定ファイル内に記述された悪意あるドメイン（registry.hashicorp-aws[.]com など）へ接続され、攻撃者が管理するモジュールが自動的にダウンロードされる仕組みになっていたと説明されています。

2つのmacOS向けバックドア「FLATROOF」と「ROOFDECK」

攻撃の最終段階では、ARMベースのApple Silicon搭載Macを対象とした、Rust言語で記述された2系統のマルウェアが送り込まれていました。

1つ目の「FLATROOF」（別名 Gaslight）は、メッセージングアプリのTelegramをC2（侵入先を遠隔操作するための指令サーバー）として利用するバックドアです。任意のコマンド実行やファイルの送受信に加え、Pythonモジュールを介して各種データを窃取する機能を備えています。盗み出す対象には、Chrome、Brave、Firefox、Safariといった主要ブラウザのデータ、ターミナルのコマンド履歴、インストール済みアプリの一覧、システム構成、稼働中プロセスの状態、さらにパスワードなどを管理するキーチェーンのファイル（login.keychain-db）が含まれていました。

2つ目の「ROOFDECK」は、分散型プロトコル「Nostr」をC2との通信に採用したバックドアです。システム情報の偵察、ファイル操作、リモートシェル、ネットワーク内での横展開、さらにLaunch Agentsを用いた端末内への常駐化（永続化）を行います。ROOFDECKが受信するコマンドは攻撃者の秘密鍵で署名されており、内部に埋め込まれた公開鍵によって改ざんがないか検証された上で実行される設計です。また、ファイルやディレクトリを操作する一般的なシェルコマンドをプログラム内で独自に再実装しており、北朝鮮系の高度な攻撃ツールに見られる特徴を備えていると報告されています。

インド企業での発覚と過去の大規模インシデント

SentinelOneがこれら2つのバックドアを追跡する過程で、暗号資産事業と直接の関わりがないインドのITサービス企業の侵害が発覚しました。同社に所属するDevOpsエンジニアのMacBookが侵害を受けており、2026年3月18日の時点でバックドアが侵入していたことが確認されています。マルウェアは侵入後しばらく休眠状態を維持し、3月29日になってから外部への通信やホスト上での活動を開始したとされています。

Jade Sleet（別名 PUKCHONG、Slow Pisces、TraderTraitor、UNC4899）は、これまで暗号資産やWeb3業界を標的に巨額の資金窃盗を繰り返してきたことで知られています。2025年初頭には、Safe{Wallet}の開発環境を踏み台にしたサプライチェーン攻撃によりBybitから約15億ドルを盗み出した件への関与が指摘されているほか、2026年3月から4月にかけて発生したKelpDAOのLayerZeroブリッジに対する攻撃でも今回と同じバックドアが使用されていました。暗号資産関連企業そのものだけでなく、それらの企業が利用する周辺ベンダーや開発者の開発環境を広く標的に据えている実態が、今回の事例でも浮き彫りになっています。