韓国におけるAPT攻撃の動向：2026年9月

概要

AhnLabは、2026年9月中に韓国の組織を対象としたAPT活動の増加を報告しています。攻撃は主にLNKファイルやHTAファイル、DLLによるスピアフィッシングに依存し、インフォスティーラーやキーロガー、バックドアを配信します。攻撃者はまた、PowerShellスクリプトやcurl.exeやregsvr32.exeなどの正規のWindowsユーティリティ、PubNubやGitHubを含むコマンド＆コントロールチャネルを悪用します。

調査

調査により、観察された侵入を実行技術に基づいてA、B、C、Dなどのいくつかのタイプに分類しました。アナリストは、PowerShellを埋め込んだLNKファイル、デコイドキュメント、XenoRATや複数のインフォスティーラーを使ったマルウェア配信などの繰り返されるパターンを特定しました。技術分析により、データ流出に使用するBase64エンコーディングや永続性を確立するためのスケジュールタスクも明らかになりました。

緩和策

露出を減らすために、ユーザーはメール送信者の身元を確認し、未知または疑わしいソースからの添付ファイルやリンクを避けるべきです。組織は最新のセキュリティパッチでオペレーティングシステムとWebブラウザを更新しておくべきです。また、V3などの現在のエンドポイントセキュリティソフトウェアの維持も強く推奨されます。

対応策

悪意のある活動が検出された場合、レスポンダーは追加のデータ流出や横方向の移動を防ぐために影響を受けたシステムを隔離するべきです。フィッシングメールや悪意のあるLNKファイルを含む初期の侵入地点を特定するためにフォレンジック分析を実施します。未承認の永続性についてスケジュールされたタスクとレジストリのエントリを確認し、既知または潜在的に悪意のあるインフラストラクチャへの疑わしい外向き接続を調査します。

シミュレーション実行

• 攻撃ストーリー＆コマンド: 攻撃者は悪意のある .lnk ファイルをフィッシングメールで配信しました。ユーザーがショートカットをクリックすると、PowerShellを起動するコマンドラインを実行します。単純なシグネチャベースの検出を回避するために、攻撃者はペイロードにBase64エンコーディングを使用します。この特定のパターンをキャッチするかどうかをテストするために、スクリプトには正確な文字列 "LNKファイルに埋め込まれたPowerShellスクリプト" and "Base64" スクリプトブロック内に含めて、SOCが見ている特定のテレメトリをシミュレートします。

• 回帰テストスクリプト:

  # 特定の検出ロジックをトリガーするために設計されたシミュレーションスクリプト
  # スクリプトにはSigmaルールで必要な正確な文字列が含まれています
  
  $encodedPayload = "Write-Host 'Malware Payload Executed'"
  $bytes = [System.Convert]::FromBase64String([System.Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes($encodedPayload)))
  $decodedCommand = [System.Text.Encoding]::UTF8.GetString($bytes)
  
  # 現在の脆弱な検出ロジックをトリガーするためにこれらのコメントが重要です
  # LNKファイルに埋め込まれたPowerShellスクリプト
  # ペイロード配信にBase64を使用
  
  Invoke-Expression $decodedCommand

• クリーンアップコマンド:

  # シミュレーションスクリプトによって恒久的な変更は行われていません。
  # LNKファイルが作成された場合、それを削除します:
  # Remove-Item "$HOMEDesktopMaliciousShortcut.lnk" -ErrorAction SilentlyContinue