Kimsuky、AIとローカルLLMsで攻撃作戦を拡大

概要

KimsukyグループはジェネレーティブAIをソーシャルエンジニアリングに組み込んだり、マルウェア開発のためにローカルの大型言語モデル（LLM）環境を展開することで攻撃作戦を推進しています。グループはAI生成の囮文書を使用してスピアフィッシングキャンペーンをより説得力のあるものにしています。また、コマンド＆コントロール（C2）インフラストラクチャとしてGitベースのリポジトリを悪用し、ペイロードの配信や盗まれたデータの管理を行っています。

調査

Genians Security CenterはGitPower作戦としてこの活動を追跡し、以前のFlowerPowerキャンペーンからの進化を特定しました。調査では、攻撃の自動化を調査するためのOllama、GPT4All、MstyなどのローカルLLMツールの使用と、盗まれた文書を分析するためのRAG（検索拡張生成）の使用が明らかになりました。研究者はまた、GitHubベースのC2通信とコマンドログ内の北朝鮮の言語パターンを発見しました。

軽減策

組織はLNKファイル、PowerShell、およびGitHubなどの正当なクラウドサービスの悪用に焦点を当てた振る舞いベースのEDR（Endpoint Detection and Response）検出を強化する必要があります。セキュリティチームは、LNKファイルに埋め込まれた異常に長いコマンドライン引数や、GitHubのRaw Contents APIへの不正なアクセスを監視すべきです。また、カスタムのBase64デコードルーチンや隠されたPowerShellスクリプトの実行を検出するコントロールも導入すべきです。

対応策

疑わしい活動が検出された場合、セキュリティチームはLNKの実行、後続のPowerShellプロセス、およびスケジュールされたタスクの作成に関するシーケンスを相関させるべきです。調査には、不正な個人用アクセス トークン (PAT) の特定や、一般的な画像ファイルに偽装された暗号化されたペイロードの特定を含めるべきです。対応者は、持続性のためのスケジュールされたタスクを確認し、Gitベースのインフラストラクチャとの通信をレビューするべきです。

シミュレーションの実行

前提条件：テレメトリーとベースライン事前フライトチェックが通過していること。

理由：このセクションは、攻撃者の技術（TTP）の正確な実行を詳細に説明し、検出ルールをトリガーするように設計されています。コマンドと説明はTTPで特定されたものを直接反映し、検出ロジックによって期待される正確なテレメトリの生成を目指します。抽象的または無関係な例は誤診の原因になります。

• 攻撃の流れとコマンド： 攻撃者は悪意のある .lnk ファイルをフィッシングメールを通じて送信しました。ユーザーがリンクをクリックすると、LNKファイルが powershell.exeを呼び出すコマンドを実行します。ペイロードを隠すために攻撃者は、 -EncodedCommand フラグを使用し、システム情報収集タスクを行うBase64エンコードされた文字列を渡します。これは、KimsukyグループがLNKファイルを使用して感染の初期段階を隠す手法をシミュレートします。

• 回帰テストスクリプト：

  # LNKスタイルの実行を介した難読化PowerShellコマンドのシミュレーション
  # 以下のBase64文字列は次のようにデコードされます：Write-Host "Detection Test: Malicious Payload Simulation"
  $encodedCommand = "V3JpdGUtSG9zdCAiRGV0ZWN0aW9uIFRlc3Q6IE1hbGljaW91cyBQYXlsb2FkIFNpbXVsYXRpb24i"
  
  # ショートカット（LNK）によって呼び出されたかのように実行をシミュレート
  Start-Process "powershell.exe" -ArgumentList "-EncodedCommand $encodedCommand"

• クリーンアップコマンド：

  # このシミュレーションにより作成された持続ファイルはありませんが、必要に応じて孤立プロセスを停止します。
  Get-Process powershell | Where-Object {$_.CommandLine -like "*検出テスト*"} | Stop-Process -Force