APT-C-60攻撃の2026年更新

概要

APT-C-60脅威グループは、日本の組織を標的とした作戦を実施しており、改訂された初期アクセス戦術と更新されたインフラストラクチャを使用しています。侵入の流れは、Proton Driveリンクや武器化されたRARアーカイブを含むスピアフィッシングメールから始まり、LNKファイルの実行につながります。そのショートカットは mshta.exe を悪用して埋め込まれたJavaScriptを起動し、最終的にSpyGlaceマルウェアをさまざまな正当な開発者サービスを介して取得し実行します。

調査

JPCERT/CCは、以前のキャンペーンと比較してAPT-C-60の初期アクセス方法とインフラストラクチャに著しい変化を観察しました。調査により、ペイロード配布にProton Driveを使用し、GitLab、jsDelivr、Codeberg、GitHubなどの信頼できるサービスを悪用して悪意のあるコンポーネントをホスティングしていることが明らかになりました。アナリストはLNKファイルから mshta.exe を使用するフォローオンスクリプトにJavaScriptを呼び出す感染チェーンを再構築しました git.exe を使用して追加のダウンローダーコンテンツを取得しました。

緩和

ユーザーは、RARファイルなどの圧縮アーカイブ内で配布される疑わしいクラウドストレージのリンクやLNKファイルを開かないようにするべきです。組織は、 git.exe を含む正当な開発者ツールとプラットフォームの誤用、および異常なアウトバウンドアクティビティを監視する必要があります。 mshta.exe および疑わしいJavaScriptの実行を監視することで、被露出を減らすのに役立ちます。

対応

この活動が検出された場合、対応者は影響を受けたホストを隔離し、メモリフォレンジックを実行してアクティブなSpyGlaceバリアントとコマンド・アンド・コントロールセッションを特定するべきです。ネットワークログを確認して、識別されたC2 IPアドレスとペイロード配信に悪用された正当なサービスとの通信を確認する必要があります。調査者は、スピアフィッシングメールおよびクラウドストレージサービスからのフォローオンダウンロードに焦点を当てて、初期のエントリポイントを追跡することも重要です。

シミュレーションの実行

前提条件: テレメトリとベースラインのプレフライトチェックが合格していること。

理由: このセクションでは、検出ルールをトリガーするために設計された具体的な敵対者技法の実行を詳細に説明します。コマンドと説明は、特定され検出ロジックによって期待される正確なテレメトリを生成することを目的として、TTP（戦術、技法、手順）を直接反映させる必要があります。抽象的または無関連な例は誤診を引き起こします。

• 攻撃ストーリーとコマンド: 敵対者は、従来のシグネチャベースの検出を回避するためにLOLBinsの組み合わせを使用して第2段ペイロードを展開することを目指しています。攻撃者はLNKファイルを使用して、 mshta.exeをトリガーし、難読化されたJavaScriptルーチンを実行します。開発者環境に溶け込み、データの流出やツールの取得を隠す可能性を高めるため、攻撃者は git.exe を呼び出し、「downloader」というキーワードを含むコマンドラインを渡します。このルールの特定（およびもろい）ロジックを満たすため、シミュレーションではこれら3要素をすべて取り入れた単一のコマンドラインを実行します。

• 回帰テストスクリプト:

  # APT-C-60検出ルールをトリガーするためのシミュレーションスクリプト。
  # このスクリプトは、JavaScriptとgit.exeを使用してmshtaを実行し、
  # ルールのAND条件要件を満たすことを試みます。
  
  $cmd = "mshta.exe javascript:alert('triggering_rule'); git.exe --help downloader"
  
  # 注意: 実際のSigma/SIEM環境では、'and'条件は
  # これらが同じイベント内または非常に密接に関連していることを期待することが多いです。
  # この複雑なコマンドラインを模倣するプロセスを起動します。
  
  Start-Process "mshta.exe" -ArgumentList "javascript:alert('test'); git.exe downloader"

• クリーンアップコマンド:

  # シミュレーションスクリプトによって永続的なアーティファクトは作成されません。
  # 単に残留mshtaプロセスがないことを確認します。
  Stop-Process -Name "mshta" -ErrorAction SilentlyContinue