Kimsukyの検出と攻撃分析

Kimsukyの検出は、単にハッシュを一致させるだけでなく、自身のテレメトリーにおけるグループのトレードクラフトを認識することに依存します。Kimsukyは北朝鮮のAPTグループであり、その公開されたキャンペーンの1つでは、LNKファイルやPowerShellドロッパーを配信するために外交官を装います。これらの技術は、スクリプトホストがユーザーが書き込み可能なフォルダーから起動される、隠されたPowerShell、新しいサービスやスケジュールされたタスク、静かなアカウント変更など、通常のWindowsセキュリティログに痕跡を残します。

この記事は、既知の脅威にイベントを一致させるログ分析ツールであるLogTotalで分析されたログサンプルを使用したKimsukyの検出を扱います。以下では、ログがどこから来たのか、LogTotalによってフラグが立てられたもの、未処理のイベントに基づく検出結果、有事の対応の詳細を説明します。

無料で始める

Kimsukyの分析

このサンプルのトレードクラフトは、グループの背景と最近のキャンペーンに照らしてより明確に読み取れるため、まずそこから始めてからログに移ります。

Kimsukyとは

Kimsukyは、情報収集に焦点を当てた北朝鮮の国家支援APTグループです。MITRE ATT&CKではG0094として追跡され、ベンダーはAPT43、Velvet Chollima、Black Banshee、THALLIUM、Emerald Sleet、TA427、Springtailとも呼びます。その活動は、北朝鮮の偵察総局と一致していると考えられています。

CISAは、グループが2012年から活動している可能性が高いと評価しています。最初の詳細な公開レポートは、2013年にKasperskyの「The Kimsuky Operation」であり、その名前はKasperskyの研究者が見つけた内部コード参照に由来しています。

ほとんどのKimsukyの作戦は韓国を標的とし、その他アメリカ、日本、ヨーロッパ、ロシアにも届いています。政府や政策対象を超えて、被害者には学者や暗号通貨セクターが含まれます。スピアフィッシングが最も観察される侵入ポイントです。

2026年におけるKimsukyの活動

ここで分析されたサンプルは、2026年9月21日、上記の期間内のもので、ドットでパディングされた、PDFをテーマにしたLNK、隠されたPowerShell、およびログオントリガーのスケジュールタスクがこれらのキャンペーンに密接に一致しています。

ログサンプル

サンプルは、1つのドメインコントローラからの3,087イベントを含む1つのファイル、Kimsuky.jsonlです。KimsukyスタイルのトレードクラフトがDCで制御されたエミュレーションに対して実行され、ネイティブのWindows監査テレメトリにおけるこの活動の見た目の参考となります。

ログソースと収集

JSONレイアウトは、SIEM正規化されたエクスポートではなくEVTXからJSONへの変換を指しています。

イベントの内容

ほとんどのイベントはオブジェクトおよびハンドルの監査（4658, 4656, 4663, 4690）、トークン権利の調整（4703）、ファイル共有アクセス（5145）です。これらは高ボリュームで、ほとんどバックグラウンドノイズです。

検出に関連するイベントははるかに少ないです：

• フルコマンドラインを含む49のプロセス作成（4688）
• アカウントおよびグループ管理（4720–4738）
• サービスインストール（4697）
• スケジュールされたタスクのライフサイクル：作成、更新、削除（4698, 4702, 4699）
• Active Directoryオブジェクト変更（5136）
• 監査ポリシーの変更（4719）

攻撃の文脈：エミュレーションであり、ライブの侵入ではない

この活動は、Kimsukyトレードクラフトの明らかなエミュレーションです。すべての攻撃者コマンドは、powershell_ise.exeを親プロセスとして持っています。オブジェクトは、OrbitalTestSvc、adminuserz、パスワード!BackdoorPass1などのテスト名を持っています。最後には、オペレーターはサービス、タスク、ユーザー、グループを削除します。

技術自体は、グループが外交官を装い、LNKファイルとPowerShellドロッパーを配信する公開されたKimsukyキャンペーンを模倣しています。そのため、このテレメトリは貴重です：オペレーターが実在しないとの行動が現実であるという事実です。

Kimsukyを検出する

LogTotalは16.4秒で全ての3,087ラインを処理し、105ラインに対して73件のルールを一致させました。これらの一致を1つのホスト上の9件の攻撃チェーンにグループ化し、8件を報告し、AI検証ステップで1件をフィルタリングしました。

LogTotalのルールは生のKimsuky証拠にどのように対応するか

このサンプルからのKimsukyのIOCとアーティファクト

以下のアーティファクトはエミュレーションからくるものであるため、名前自体が野外で再発見されることはありません。背後にあるパターンが何を探すべきものか。

Kimsuky Mitigation

最初にドメインコントローラを隔離し、次にそのアカウントとログの信頼を再構築します。LogTotalの対応計画は基本をカバーしています；ターゲットがDCであるため、範囲はドメイン全体に拡大する必要があります。

LogTotalの推奨する対応策

1. ホストを隔離します。
2. イメージメモリとディスク。
3. OrbitalHealthCheckスケジュールタスクを検証して削除します。
4. 監査ポリシーを確認し、復元します。
5. PowerShell Script Block LoggingとAMSIテレメトリを有効にします。
6. WScript、CScript、PowerShellの許可リストを適用します。

ドメインコントローラの追加手順

1. タイムラインをイベント1102から開始します。 セキュリティログは15:02:41 UTCにクリアされましたので、それ以前のものは他のソースから来ている必要があります。
2. 全てを収集し、ハッシュ化します C:UsersPublicDownloadsおよび%TEMP%内の全て、LNK、JScript、PowerShell、HTA、および偽のsmss.Exeを含みます。
3. クリーンアップを確認します。 OrbitalTestSvc、adminuserz、およびadmingroupzが消えていることを確認し、管理者を隠すWinlogonSpecialAccountsUserListの値を元に戻します。
4. 資格情報をリセットします。 管理者パスワードをリセットし、ダブルkrbtgtリセットを計画します。
5. ドメイン全体で追跡します ドットパディングされたLNKファイル名や、ユーザーが書き込み可能なフォルダーから起動されたスクリプトホスト（wscript.exe、cscript.exe、mshta.exe、powershell.exe）を対象に。

Kimsukyスタイルトレードクラフトに対するハードニング

このサンプルを捕捉するのと同じコントロールが、ドメイン全体での露出を減少させます。4688プロセス作成をコマンドラインと共に有効に保つことで、49プロセスイベントにより多くの証拠が運ばれました。隠れたPowerShellを起動する4697サービスインストールと4698タスク作成に警告します。DCでの1102イベントをインシデントトリガーとして扱います。