ENKI Whitehatの脅威研究チームは、2025年から2026年初頭にかけて、国内企業グループウェア開発企業の内部ネットワークに侵入し、ラテラルムーブメント（横展開）および顧客企業への侵入を試みた北朝鮮を背景に持つ攻撃グループ「Kimsuky」の攻撃事例を追跡した。分析の結果、攻撃者は脆弱性の悪用やスピアフィッシングなどの初期侵入経路を通じて外部ネットワークと接続されたサーバーの制御権を確保し、Gomirおよび様々な亜種のマルウェアをインストールした。攻撃者はGoogleドライブをC&Cサーバーとして悪用したり、新しいカスタムプロトコルを実装するなどして（Gomir）マルウェアの通信方式を大幅に変更し、検知回避を効果的に試みた。また、侵害したグループウェア開発企業の製品を使用している顧客企業のサーバーに直接侵入したほか、グループウェアのログインページを改ざんして役職員のアカウント情報を流出させるなど、積極的なラテラルムーブメントを試みた。本レポートは、攻撃に使用されたGomir、BirdTroy、DriveTroyを検出できる検出スクリプトおよびYARAルールを併せて提供する。

ENKI Whitehat脅威研究チームは、2026年上半期に北朝鮮の背後にある攻撃グループKimsukyによる大韓民国の軍・企業関係者を標的としたマルウェア配布事例を確認した。分析の結果、Webexを騙った攻撃事例において、最終ペイロードであるHttpSpy変種の全実行チェーンが確認された。従来のHttpSpyが単一のバイナリで動作していたのとは異なり、この変種はインストールプロセスが3段階に細分化されている。セキュリティプログラムを装った攻撃事例ではダウンローダー段階までしか確認されなかったが、同一のRC4キー・インフラ・コードパターンを共有していることから、同一の脅威アクターによる攻撃と判断した。Kimsukyは、偽のウェブページにJSONP通信機能を追加し、マルウェアが被害システムに構築したローカルサーバーと通信して実行中かどうかを確認し、未実行の場合はインストールを誘導した（JSONPing、セクション4.4参照）。また、Kimsukyがすでに侵害したと推定される被害者のミーティングスケジュール情報を活用して偽のミーティングページを作成し、他のミーティング参加者にマルウェアを配布した形跡も確認された。

Windowsは、USBデバイスが接続されたときにUSB記述子を解釈して、適切なカーネルドライバをロードします。デバイスから送信されたデータが正しく検証されない場合、カーネルレベルの脆弱性につながる可能性があります。物理的なアクセスが可能な環境では、USBを介したローカル権限昇格（LPE）が可能です。Active Directory環境では、攻撃者はワークステーション上でSYSTEM整合性を持つマシンアカウントの資格情報を盗み出し、ドメイン内での横展開（ラテラルムーブメント）に悪用することができます。さらに、キオスクやPOSデバイスなどの制限されたユーザー環境によって課される一部の制限をバイパスすることができ、同様の条件が公共のPCや会議室のデバイスにも適用されます。この記事では、Windows USBドライバの脆弱性について説明し、不正な形式のUSBデバイスとユーザーランドプログラムを使用して攻撃者がSYSTEM権限を取得する方法を実証します。脆弱性の発見から根本原因分析、そしてエクスプロイト開発に至るまでの全プロセスを共有します。私たちはENKI WhiteHatのセキュリティ研究者であり、WindowsのバグハンターであるDongjun KimとJongseong Kimです。以前、過去の投稿 [link] でWindowsの脆弱性に関する研究を共有しました。