Select Language

お問い合わせ

会社紹介

サービス

製品

メディアセンター

お問い合わせ

会社紹介

サービス

製品

メディアセンター

Select Language

お問い合わせ

会社紹介

サービス

製品

メディアセンター

今日表示しない

トップへ戻る

脅威インテリジェンス

Kimsukyの高度化した攻撃手法の分析：JSONPing、Webex自称、そして新たなHttpSpy変種の登場

エンキホワイトハット

2026/05/27

コンテンツ

概要

2026년 4월까지 Kimsukyが大韓民国の軍・企業関係者を対象にマルウェアを流布した事例を多数確認した。
Kimsukyは、国内のセキュリティプログラムインストールページへのなりすまし、実際のWebexミーティング日程を悪用した偽のミーティングページの制作など、ターゲットに合わせた多様なソーシャルエンジニアリング戦略を使用した。
流布ページでJSONPを利用して被害者のマルウェア実行有無をリアルタイムで確認する手法（JSONPing）が確認された。
最終ペイロードとしてHttpSpyの亜種が確認され、従来の単一バイナリ構造からInstaller - Loader - HttpSpyの3段階の新しい実行チェーンが使用された。
攻撃インフラ、コードパターン、暗号化キーの再利用などにおいて、Kimsukyとの関連性が確認された。

1. 概要

ENKI Whitehat脅威研究チームは、2026年上半期に北朝鮮の背後にある攻撃グループKimsukyによる大韓民国の軍・企業関係者を標的としたマルウェア配布事例を確認した。

分析の結果、Webexを騙った攻撃事例において、最終ペイロードであるHttpSpy変種の全実行チェーンが確認された。従来のHttpSpyが単一のバイナリで動作していたのとは異なり、この変種はインストールプロセスが3段階に細分化されている。セキュリティプログラムを装った攻撃事例ではダウンローダー段階までしか確認されなかったが、同一のRC4キー・インフラ・コードパターンを共有していることから、同一の脅威アクターによる攻撃と判断した。

Kimsukyは、偽のウェブページにJSONP通信機能を追加し、マルウェアが被害システムに構築したローカルサーバーと通信して実行中かどうかを確認し、未実行の場合はインストールを誘導した（JSONPing、セクション4.4参照）。また、Kimsukyがすでに侵害したと推定される被害者のミーティングスケジュール情報を活用して偽のミーティングページを作成し、他のミーティング参加者にマルウェアを配布した形跡も確認された。

2. 背景

Kimsukyは、2013年にKasperskyによって初めて特定されて以来、現在まで主に韓国をターゲットとして継続的に攻撃を行っている、代表的な北朝鮮を背景に持つAPTグループの一つである。

Kimsukyは以前から、韓国をターゲットにした攻撃を実行する際、マルウェアを韓国内のセキュリティ製品開発企業のインストールファイルに偽装して流布する戦略を頻繁に使用していた。2023年にESTSecurityが分析したKimsukyのマルウェアも、実行時に正常なインストールファイルを実行しながら、バックグラウンドで二次マルウェアを生成して実行する。

2024年にAhnLab（アンラップ）から報告された事例では、公式ウェブサイトを直接侵害し、セキュリティプログラムに偽装したマルウェアの流布地として悪用した。この際、流布地からダウンロードされたマルウェアは、国内企業の有効な証明書で署名されていた。

このように流出した国内の証明書を悪用する戦略は、HttpSpyが使用された2025年5月のCJ Olivenetworks証明書悪用事例でも登場する。同事例では、Go言語で作成されたscr実行ファイルがドロッパーマルウェアとして使用され、生成した二次マルウェアをrundll32.exeで実行し、hello Export関数を呼び出すパターンが確認された。"hello" Export関数の呼び出しパターンは、KasperskyのHelloDoor報告事例でも確認されている。

3. セキュリティプログラムの偽装

caption - セキュリティプログラム偽装攻撃の概要図

3.1. 偽のセキュリティプログラムインストールページ

2026年3月頃、Kimsukyが韓国国内のB2Bメッセージングサービス企業のセキュリティプログラムインストールページを騙った偽ページを作成し、マルウェアを配布した事例が確認された。なりすましの対象が一般消費者向けではなく企業向けサービスであることから、企業内のメッセージング管理者を標的にしたものと推定される。

URL: hxxps://www.ibizplus.n-e[.]kr/install.html

caption - セキュリティプログラムインストールページの偽装

「全インストール」および「ダウンロード」ボタンをクリックすると、マルウェアがダウンロードされる。各ボタンクリック時にダウンロードされるファイル情報は下表の通りである。

| ボタン | URL | マルウェア |
| --- | --- | --- |
| 個人PCファイアウォール(ASTX) ダウンロード | hxxps://www.ibizplus.n-e[.]kr/download.php?id=30382119 | astx-setup.exe |
| キーボードセキュリティ(NOS) ダウンロード | hxxps://www.ibizplus.n-e[.]kr/download.php?id=30382120 | nos-setup.exe |
| 全インストール | hxxps://www.ibizplus.n-e[.]kr/download.php?id=30382121 | nos-setup.exe |

| ボタン | URL | マルウェア |
| --- | --- | --- |
| 個人PCファイアウォール(ASTX) ダウンロード | hxxps://www.ibizplus.n-e[.]kr/download.php?id=30382119 | astx-setup.exe |
| キーボードセキュリティ(NOS) ダウンロード | hxxps://www.ibizplus.n-e[.]kr/download.php?id=30382120 | nos-setup.exe |
| 全インストール | hxxps://www.ibizplus.n-e[.]kr/download.php?id=30382121 | nos-setup.exe |

| ボタン | URL | マルウェア |
| --- | --- | --- |
| 個人PCファイアウォール(ASTX) ダウンロード | hxxps://www.ibizplus.n-e[.]kr/download.php?id=30382119 | astx-setup.exe |
| キーボードセキュリティ(NOS) ダウンロード | hxxps://www.ibizplus.n-e[.]kr/download.php?id=30382120 | nos-setup.exe |
| 全インストール | hxxps://www.ibizplus.n-e[.]kr/download.php?id=30382121 | nos-setup.exe |

caption - 偽のインストールページのボタン別ダウンロード情報

HTMLコードを確認した結果、攻撃者はメッセージングサービス企業ではなく、ウリィ銀行のセキュリティプログラムインストールページのHTMLコードをコピーして修正し、ロゴを追加して攻撃に使用していたことが確認された。

caption - ウリィ銀行のHTMLコード改変の痕跡

caption - 実際のウリィ銀行のセキュリティプログラムインストールページ

3.2. ドロッパーおよびダウンローダー

3.2.1. nos-setup.exe & astx-setup.exe

nos-setup.exeとastx-setup.exeは、おとりファイルとして使用される正常なプログラムのインストールファイルのみが異なり、不正な行為、追加で生成するマルウェア、メタデータなどはすべて同一のドロッパーマルウェアである。詳細情報は下表の通りである。

| **ファイル名** | nos-setup.exe | astx-setup.exe |
| --- | --- | --- |
| おとりファイル | nProtect Online Security V1.0 | AhnLab Safe Transaction |
| 追加マルウェア MD5 | bea602695d58cbf25fff058834e36c1d | bea602695d58cbf25fff058834e36c1d |
| 追加マルウェア生成パス | C:\Programdata\[a-z]{8}.dat | C:\Programdata\[a-z]{8}.dat |
| 自己削除ファイルパス | %Temp%\msbuil.bat | %Temp%\msbuil.bat |
| RC4キー | #RsfsetraW#@EsfesgsgAJOPj4eml; | #RsfsetraW#@EsfesgsgAJOPj4eml; |
| リンカー情報 | Microsoft Linker(14.36.33523) | Microsoft Linker(14.36.33523) |
| コンパイラ情報 | Microsoft Visual C/C++(19.36.33523)[LTCG/C++] | Microsoft Visual C/C++(19.36.33523)[LTCG/C++] |
| ツール情報 | Visual Studio(2022, v17.6) | Visual Studio(2022, v17.6) |
| 言語情報 | C++ | C

| **ファイル名** | nos-setup.exe | astx-setup.exe |
| --- | --- | --- |
| おとりファイル | nProtect Online Security V1.0 | AhnLab Safe Transaction |
| 追加マルウェア MD5 | bea602695d58cbf25fff058834e36c1d | bea602695d58cbf25fff058834e36c1d |
| 追加マルウェア生成パス | C:\Programdata\[a-z]{8}.dat | C:\Programdata\[a-z]{8}.dat |
| 自己削除ファイルパス | %Temp%\msbuil.bat | %Temp%\msbuil.bat |
| RC4キー | #RsfsetraW#@EsfesgsgAJOPj4eml; | #RsfsetraW#@EsfesgsgAJOPj4eml; |
| リンカー情報 | Microsoft Linker(14.36.33523) | Microsoft Linker(14.36.33523) |
| コンパイラ情報 | Microsoft Visual C/C++(19.36.33523)[LTCG/C++] | Microsoft Visual C/C++(19.36.33523)[LTCG/C++] |
| ツール情報 | Visual Studio(2022, v17.6) | Visual Studio(2022, v17.6) |
| 言語情報 | C++ | C

| **ファイル名** | nos-setup.exe | astx-setup.exe |
| --- | --- | --- |
| おとりファイル | nProtect Online Security V1.0 | AhnLab Safe Transaction |
| 追加マルウェア MD5 | bea602695d58cbf25fff058834e36c1d | bea602695d58cbf25fff058834e36c1d |
| 追加マルウェア生成パス | C:\Programdata\[a-z]{8}.dat | C:\Programdata\[a-z]{8}.dat |
| 自己削除ファイルパス | %Temp%\msbuil.bat | %Temp%\msbuil.bat |
| RC4キー | #RsfsetraW#@EsfesgsgAJOPj4eml; | #RsfsetraW#@EsfesgsgAJOPj4eml; |
| リンカー情報 | Microsoft Linker(14.36.33523) | Microsoft Linker(14.36.33523) |
| コンパイラ情報 | Microsoft Visual C/C++(19.36.33523)[LTCG/C++] | Microsoft Visual C/C++(19.36.33523)[LTCG/C++] |
| ツール情報 | Visual Studio(2022, v17.6) | Visual Studio(2022, v17.6) |
| 言語情報 | C++ | C

caption - セキュリティプログラム偽装マルウェアの情報

マルウェアが実行されると、内蔵されたRC4暗号化データを復号し、2次マルウェアとおとりファイルを生成する。おとりファイルは現在のディレクトリに nos_setup.exe または astx-setup.exe として生成され、2次マルウェアは C:\Programdata\[a-z]{8}.dat として生成される。復号に使用されるRC4キーは以下の通りである。

RC4キー : #RsfsetraW#@EsfesgsgAJOPj4eml;

caption - ファイル名生成ルーチン

復号された2次マルウェアはDLLであり、export tableに MemLoader.dll という元のファイル名が存在する。マルウェアは CreateProcess 関数を介して regsvr32.exe として実行され、おとりファイルは ShellExecuteW 関数を介して別途実行される。

caption - 正常な nos_setup.exe の実行結果

caption - 正常な astx-setup.exe の実行結果

nos_setup.exeとastx-setup.exeは、すべての動作が終了すると、自身を削除するバッチファイルを生成して実行する。生成されるパスと内容は以下の通りである。

バッチファイルのパス: %Temp%\msbuild.bat

:L1
del /F "<実行中のファイルパス>"
if exist "<実行中のファイルパス>" goto L1
del /F "%Temp%\msbuild.bat"

:L1
del /F "<実行中のファイルパス>"
if exist "<実行中のファイルパス>" goto L1
del /F "%Temp%\msbuild.bat"

:L1
del /F "<実行中のファイルパス>"
if exist "<実行中のファイルパス>" goto L1
del /F "%Temp%\msbuild.bat"

3.2.2. MemLoader.dll

実行時、まず現在実行中のファイルと同一のパスに [実行中のファイル名].cfg ファイルが存在するかどうかを確認する。該当するファイルが存在すればそのファイルの内容を読み込んでUIDとして使用し、存在しなければ [0-9a-fA-F] の範囲のランダムな8桁の文字を生成してUIDとして使用する。UIDが決定されると、現在のプロセスが管理者権限であれば S-、そうでなければ U- プレフィックスを追加する。完成したUIDは [実行中のファイル名].cfg ファイルに保存される。

caption - UIDのロードまたは生成ルーチン

UIDの設定直後、内蔵された追加のマルウェアを C:\programdata\calc.exe として保存し、ShellExecuteWを介して実行する。

calc.exeはローカルホストの 62001 ポートに一時的なサーバーを生成し、 /ping パスに callback パラメータが含まれる要求を受信すると、該当するコールバック関数でラップされたJSONP形式のレスポンスを返す。このサーバーは、マルウェアを配布するページが被害者の感染有無を確認するために使用され、配布ページの詳細な動作については「4.4. 追加のセキュリティプログラム偽装ページ」セクションで説明する。

caption - ポートバインディングルーチン

その後、持続性を確保するために1分間隔で動作するタスクを登録する。現在実行中のマルウェアの実行形態と権限に応じて異なるタスクが登録され、ケースごとの詳細情報は下表の通りである。

| 実行形式 | 権限 | タスク名 | コマンドの特徴 |
| --- | --- | --- | --- |
| DLL | Admin | ChromeUpdate | regsvr32を使用 + 最高権限 |
| DLL | User | EdgeUpdate | regsvr32を使用 |
| EXE | Admin | ChromeUpdate | 直接実行 + 最高権限 |
| EXE | User | EdgeUpdate | 直接実行

| 実行形式 | 権限 | タスク名 | コマンドの特徴 |
| --- | --- | --- | --- |
| DLL | Admin | ChromeUpdate | regsvr32を使用 + 最高権限 |
| DLL | User | EdgeUpdate | regsvr32を使用 |
| EXE | Admin | ChromeUpdate | 直接実行 + 最高権限 |
| EXE | User | EdgeUpdate | 直接実行

| 実行形式 | 権限 | タスク名 | コマンドの特徴 |
| --- | --- | --- | --- |
| DLL | Admin | ChromeUpdate | regsvr32を使用 + 最高権限 |
| DLL | User | EdgeUpdate | regsvr32を使用 |
| EXE | Admin | ChromeUpdate | 直接実行 + 最高権限 |
| EXE | User | EdgeUpdate | 直接実行

caption - 実行形態および権限別の登録タスク情報

マルウェアは Authorization: Bearer [UID] ヘッダーを含むGETリクエストをC&Cサーバーに転送する。このとき、レスポンスデータが存在する場合はRC4で復号してメモリからロードし、 hello 関数を呼び出す。RC4キーはドロッパーが使用するキーと同一であり、ダウンロード時にリクエストを送信するURLは以下の通りである。

URL: hxxps://load.serverpit[.]com/fwrite.php

caption - ダウンロードリクエストルーチン

分析当時、単にアクセスするだけでは後続のペイロードを確保することができなかった。攻撃者はマルウェアが持続的に送信するGETリクエストを確認し、特定の被害者を対象にマルウェアをおとりとして配布したものと推定される。

4. Webexのなりすまし

4.1. 偽のWebexミーティングページ

2026年4月には、KimsukyがCiscoのオンラインミーティングサービスであるWebexを騙った偽のページを通じて、マルウェアを配布した事例が確認された。特に、当該攻撃に使用された偽のミーティングページは、特定の人物が実際に参加予定のミーティングを基に作成されていた。これは、攻撃者が事前にミーティング情報を獲得し、マルウェアを配布した可能性が高い。以下のURLから確保したhtmlコードを実行すると、ぼかし処理されたミーティング入場ページの背景にローディングUIが表示される。

URL: hxxps://conference.birdriver[.]org/

caption - 偽のミーティング入場ページ

偽のミーティングページは、接続5秒後にカメラパッチスクリプトをインストールして実行するように促す文言を表示し、確認ボタンを押すよう誘導する。確認ボタンを押すと、jseファイルが含まれたegg圧縮ファイルがダウンロードされる。URLのエンドポイントとパラメータ構成は、セキュリティプログラムを装った事例の偽のインストールページで使用されたURLと同一である。

URL: hxxps://download.birdriver[.]org/download.php?id=425623

caption - マルウェアのダウンロード誘導ボタン

ダウンロードしたjseファイルの実行時に、最終的に変種HttpSpyがシステムにインストールされる。マルウェアとともに生成および実行されるmeeting.htmlは、被害者をWebexミーティングルームへとリダイレクトする。

リダイレクトURL接続時に、正常なWebexミーティングルームが表示される。当該ミーティングは、マルウェアの配布時期に予定されていた実際のミーティング日程であることが確認された。この事実から、攻撃者が特定のミーティング出席予定者のPCまたはアカウントを侵害してミーティング情報を獲得した後、ミーティング出席者にマルウェアを配布するために偽のミーティングページを作成したものとみられる。

caption - 正常なWebexミーティング入場ページ

4.2. jseドロッパーおよびダウンローダー

4.2.1. fix-camera.jse

fix-camera.jseは、base64でエンコードされた状態で含まれるマルウェアと、囮のhtmlファイルをそれぞれC:\ProgramData\mTSTCv8.mdxm、C:\ProgramData\meeting.htmlのパスに生成して実行する。jseスクリプトは、base64エンコードされたデータをゴミ変数に割り当てたり、文字列をスライシングして"+"演算で組み合わせるなど、複数の難読化方式が適用されている。

caption - 難読化されたjseスクリプト

このうち、base64エンコードされたマルウェアは、1回デコードされた後にC:\ProgramData\mTXDZew.sz8fとして生成され、certutilによって再度デコードされて最終的にC:\ProgramData\mTSTCv8.mdxmファイルとして保存される。mTSTCv8.mdxmは以下のコマンドによって実行される。

powershell.exe -windowstyle hidden regsvr32.exe /s C:\ProgramData\mTSTCv8.mdxm

4.2.2. mTSTCv8.mdxm (loadDll.dll)

mTSTCv8.mdxmは、C&Cサーバーから2次マルウェアをダウンロードするダウンローダーマルウェアである。Exportファイル名がloadDll.dllであり、以下のようなPDBパスが記録されている。

PDBパス: C:\Users\jira\Documents\My_Received_Files\loadDll\x64\Release\loadDll.pdb

実行直後にVM環境検知および分析ツール検知を行い、1つでも検知された場合はプロセスを即座に終了する。まず、VM検知ルーチンは以下の2つのレジストリ値を読み込み、"VMware"、"VirtualBox"の文字列が存在するか確認する。

HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\BIOS\SystemManufacturer

HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\BIOS\SystemProductName

分析ツール検知は、現在実行中のプロセスリストと現在開いているすべてのウィンドウタイトルを照会し、ハードコードされた特定の文字列が含まれているか確認する方式で行われる。検知に使用されるすべての文字列リストについては、付録Dの「分析ツール検知リスト」を参照されたい。最終的に以下のURLから追加のペイロードをダウンロードして現在プロセスのメモリにロードし、Playエクスポート関数のアドレスを見つけて実行する。

URL : hxxps://download[.]birdriver[.]org/download.php?id=393156

caption - マルウェアのダウンロードおよび実行ルーチン

ダウンロードされたペイロードは、3段階のインストールプロセスを経て、最終的に被害システムに変種HttpSpyをインストールする。

4.3. HttpSpy変種の実行チェーン

4.3.1. engine.dat (spyInster.dll)

loadDll.dllによってダウンロードされたengine.datのExportファイル名はspyInster.dllであり、Exportファイル名からわかるように、最終的なマルウェアであるHttpSpyを被害環境にインストールする。

engine.datには2種類の文字列難読化が適用されている。ワイド文字(wchar)の文字列は、各文字から固定のオフセットを引く方式であり、通常の文字列は位置インデックスを含むキーでXORする方式である。また、engine.datは難読化されたAPI文字列を復元した後にFNV-1aでハッシュ化し、現在ロードされているモジュールのexportテーブル項目と比較して関数ポインタを取得する。

caption - wchar文字列の難読化ルーチン

caption - 通常の文字列の難読化ルーチン

engine.datは内部のRC4暗号化されたマルウェアを復号してC:\Users\Public\cacheMon.datのパスに生成する。設定データはRC4で復号してcacheMon.datにDATA_CONF代替データストリーム(ADS)として追加する。cacheMon.datおよびADS設定データの復号に使用されるRC4キーは以下の通りである。

cacheMon.datの復号RC4キー: %^fseRW#r3qwrwfsddREfGEgse)(14);
ADSの復号RC4キー: RGdcsedfd@#%dg9ser3$#$^@34sdfxl

設定データ追加の直前にrand() * rand() / 2で計算された32ビットの値を設定データのオフセット0x1228領域にパッチするが、これはHttpSpyメインモジュールで被害者識別子として使用される。最後に、自動実行レジストリに実行コマンドを登録し、regsvr32.exeを利用してC:\Users\Public\cacheMon.datを直接実行する。登録されるレジストリ値とデータは以下の通りである。

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\MSEdgeUpdateInstaller = C:\Windows\System32\regsvr32.exe /s C:\Users\Public\cacheMon.dat

4.3.2. cacheMon.dat (spyLoader.dll)

engine.datによって生成されたcacheMon.datは、Exportファイル名がspyLoader.dllであるHttpSpyローダーマルウェアである。RC4暗号化されたHttpSpyメインモジュールデータを復号して現在プロセスのメモリにロードし、hello export関数のアドレスを探索して実行する。RC4復号に使用される復号キーは以下の通りである。

RC4キー: #RsfsetraW#@EsfesgsgAJOPj4eml;

caption - cacheMon.datの最終ペイロードのロードルーチン

4.3.3. HttpSpyメインモジュール

最終的に実行されるマルウェアは、Export NameがhttpSpy.dllであるRATマルウェアである。2025年5月にCJ Olivenetworksの証明書悪用攻撃に使用された最終マルウェアとExportファイル名が同一であり、C&Cサーバー通信プロトコルおよび遠隔コマンド体系が酷似している。コンパイルタイムが2025年10月15日と記録されていることから、すでに2025年後半から攻撃に使用されていたマルウェアであると推定される。

メインループでは、あらかじめcacheMon.datにADSとして追加されていた設定データからC&CサーバーURLをロードし、HTTP POSTリクエストで遠隔コマンドを受信する。設定データの+0x410(1040)オフセットにプロキシパケットが設定されていれば、当該プロキシを介して通信し、プロキシのバイパスアドレスとして2[.]2[.]2[.]2を使用する。分析されたマルウェアの設定データは、以下の表の通りである。

| オフセット | サイズ | 用途 | 初期値 |
| --- | --- | --- | --- |
| +0 | 520 | 1次 C&C URL (wide string) | hxxp://hdrgdrfes[.]chickenkiller[.]com/index.php |
| +520 | 520 | 2次 C&C URL (wide string) | (空) |
| +1040 | 520 | プロキシアドレス (wide string) | (空) |
| +1560 | 520 | HTTP認証ユーザー名 (wide string) | (空) |
| +2080 | 520 | HTTP認証パスワード (wide string) | (空) |
| +2600 | 2048 | 未使用領域 |  |
| +4648 | 4 | セッションID (DWORD) | rand()*rand()/2

| オフセット | サイズ | 用途 | 初期値 |
| --- | --- | --- | --- |
| +0 | 520 | 1次 C&C URL (wide string) | hxxp://hdrgdrfes[.]chickenkiller[.]com/index.php |
| +520 | 520 | 2次 C&C URL (wide string) | (空) |
| +1040 | 520 | プロキシアドレス (wide string) | (空) |
| +1560 | 520 | HTTP認証ユーザー名 (wide string) | (空) |
| +2080 | 520 | HTTP認証パスワード (wide string) | (空) |
| +2600 | 2048 | 未使用領域 |  |
| +4648 | 4 | セッションID (DWORD) | rand()*rand()/2

| オフセット | サイズ | 用途 | 初期値 |
| --- | --- | --- | --- |
| +0 | 520 | 1次 C&C URL (wide string) | hxxp://hdrgdrfes[.]chickenkiller[.]com/index.php |
| +520 | 520 | 2次 C&C URL (wide string) | (空) |
| +1040 | 520 | プロキシアドレス (wide string) | (空) |
| +1560 | 520 | HTTP認証ユーザー名 (wide string) | (空) |
| +2080 | 520 | HTTP認証パスワード (wide string) | (空) |
| +2600 | 2048 | 未使用領域 |  |
| +4648 | 4 | セッションID (DWORD) | rand()*rand()/2

caption - HttpSpy設定データの構造

C&Cサーバー通信時に使用されるパラメータと値は、以下の表の通りである。

| パラメータ | 値 |
| --- | --- |
| _sessionchk | ck_param_auto |
| _logininfo | login_ok - コマンド受信 / login_fail - データ送信 |
| _pkgparam | セッションID (8桁のHEX) |
| _lockdata | 暗号化およびbase64エンコードされたデータ

| パラメータ | 値 |
| --- | --- |
| _sessionchk | ck_param_auto |
| _logininfo | login_ok - コマンド受信 / login_fail - データ送信 |
| _pkgparam | セッションID (8桁のHEX) |
| _lockdata | 暗号化およびbase64エンコードされたデータ

| パラメータ | 値 |
| --- | --- |
| _sessionchk | ck_param_auto |
| _logininfo | login_ok - コマンド受信 / login_fail - データ送信 |
| _pkgparam | セッションID (8桁のHEX) |
| _lockdata | 暗号化およびbase64エンコードされたデータ

caption - HttpSpy C&C通信パラメータ

通信時に送受信するデータは、以下のRC4キーで暗号化された後、Base64エンコードされる。

RC4キー: RGdcsedfd@#%dg9ser3$#$^@34sdfxl

コマンドコードに応じた機能は、以下の表の通りである。

| コマンドコード | 動作 |
| --- | --- |
| d | シェルコマンド実行後、ANSI出力をUnicodeに変換してC&Cサーバーへ送信 |
| e | C&Cサーバーからファイルをダウンロード |
| f | 指定ファイルを384KBチャンク単位でC&Cサーバーへアップロード |
| g | CreateProcessWで指定コマンドを非表示ウィンドウで実行 |
| h | 指定WTSセッションでプロセスを実行 |
| i | 指定ファイルを0x5Fパターンで上書きした後にファイル名を任意の英小文字に変更して削除 |
| j | GDI全画面をBMPキャプチャしてRC4暗号化後にC&Cサーバーへアップロード |
| k | 内部設定バッファをC&Cサーバーへ送信 |
| l | C&Cサーバーから新しい設定データを受信してADSを更新 |
| m | 指定IP:PortへのTCP接続テストを実行 |
| n | 指定時間(時間単位)だけスリープ |
| o | ソースファイルのタイムスタンプをターゲットファイルにコピー |
| p | 自己削除して永続化項目を削除した後に終了 (アンインストール) |
| q | 何もしない |
| r | シェルコマンド実行後、バイナリ出力をそのままC&Cサーバーへ送信 |
| s | 指定PIDのプロセスにDLLパスを注入 (Remote DLL Injection)

| コマンドコード | 動作 |
| --- | --- |
| d | シェルコマンド実行後、ANSI出力をUnicodeに変換してC&Cサーバーへ送信 |
| e | C&Cサーバーからファイルをダウンロード |
| f | 指定ファイルを384KBチャンク単位でC&Cサーバーへアップロード |
| g | CreateProcessWで指定コマンドを非表示ウィンドウで実行 |
| h | 指定WTSセッションでプロセスを実行 |
| i | 指定ファイルを0x5Fパターンで上書きした後にファイル名を任意の英小文字に変更して削除 |
| j | GDI全画面をBMPキャプチャしてRC4暗号化後にC&Cサーバーへアップロード |
| k | 内部設定バッファをC&Cサーバーへ送信 |
| l | C&Cサーバーから新しい設定データを受信してADSを更新 |
| m | 指定IP:PortへのTCP接続テストを実行 |
| n | 指定時間(時間単位)だけスリープ |
| o | ソースファイルのタイムスタンプをターゲットファイルにコピー |
| p | 自己削除して永続化項目を削除した後に終了 (アンインストール) |
| q | 何もしない |
| r | シェルコマンド実行後、バイナリ出力をそのままC&Cサーバーへ送信 |
| s | 指定PIDのプロセスにDLLパスを注入 (Remote DLL Injection)

| コマンドコード | 動作 |
| --- | --- |
| d | シェルコマンド実行後、ANSI出力をUnicodeに変換してC&Cサーバーへ送信 |
| e | C&Cサーバーからファイルをダウンロード |
| f | 指定ファイルを384KBチャンク単位でC&Cサーバーへアップロード |
| g | CreateProcessWで指定コマンドを非表示ウィンドウで実行 |
| h | 指定WTSセッションでプロセスを実行 |
| i | 指定ファイルを0x5Fパターンで上書きした後にファイル名を任意の英小文字に変更して削除 |
| j | GDI全画面をBMPキャプチャしてRC4暗号化後にC&Cサーバーへアップロード |
| k | 内部設定バッファをC&Cサーバーへ送信 |
| l | C&Cサーバーから新しい設定データを受信してADSを更新 |
| m | 指定IP:PortへのTCP接続テストを実行 |
| n | 指定時間(時間単位)だけスリープ |
| o | ソースファイルのタイムスタンプをターゲットファイルにコピー |
| p | 自己削除して永続化項目を削除した後に終了 (アンインストール) |
| q | 何もしない |
| r | シェルコマンド実行後、バイナリ出力をそのままC&Cサーバーへ送信 |
| s | 指定PIDのプロセスにDLLパスを注入 (Remote DLL Injection)

caption - HttpSpy遠隔コマンドコード

コマンドコードdとrは、引数がcdで始まるとSetCurrentDirectoryWで作業ディレクトリを変更し、変更されたパスをC&Cサーバーへ送信する。cd以外のコマンドはcmd.exe /cで実行され、標準出力を%TEMP%\NK[0-9a-fA-F]+\.tmpファイルへとリダイレクトして収集した後にC&Cへ送信する。

caption - 一般コマンド処理ルーチン

コマンドコードjでキャプチャされたBMPデータは、%TEMP%JG[0-9a-fA-F]{4}\.tmp一時ファイルに保存された後にC&Cサーバーへアップロードされ、アップロード完了後に削除される。

caption - スクリーンショットファイルの保存パス

4.4. 追加のセキュリティプログラム模倣ページ

偽のミーティングページを確認したC&Cサーバーにおいて、新しい形態のセキュリティプログラムインストールページを模倣したhtmlファイル2種が確認された。これら2つのページは共通してC&Cサーバーに対して定期的なポーリングを行い、応答値に応じて個人情報入力フォームの生成、トラッキングピクセルの挿入、リダイレクト処理のいずれかを実行する。各htmlファイルの詳細は以下の表の通りである。

| **ファーミング名** | 보안 검사.html (セキュリティ検査.html) | 보안프로그램 확인.html (セキュリティプログラム確認.html) |
| --- | --- | --- |
| MD5 | be978477fe7c179cb9607a6e08a05dff | 8833a270ddef0f464d5916958b6778e6 |
| 模倣機関 | 国民健康保険公団 | DB損害保険 |
| 識別子 | gateless | gateless |
| User-Agentベースのモバイル環境検知 | O | X |
| ポーリング周期 | 3秒 | 5秒 |
| ポーリングURL | hxxps://pipeline[.]embeddedonline[.]org/check.php?x-csrf-token=gateless | hxxps://pipeline[.]embeddedonline[.]org/check.php?x-csrf-token=gateless |
| トラッキングピクセルURL | hxxps://appview[.]imagetemplate[.]com/gateless_icon<カウンター>.png | hxxps://appview[.]imagetemplate[.]com/gateless_icon<カウンター>.png |
| 実行機能 | トラッキングピクセルの挿入
被害者のリダイレクト | マルウェア配布
マルウェア実行有無 of 確認
トラッキングピクセルの挿入 |
| マルウェアダウンロードURL | 該当なし | hxxps://pipeline[.]embeddedonline[.]org/download3.php?sessid=54126&user-token=gateless |

| **ファーミング名** | 보안 검사.html (セキュリティ検査.html) | 보안프로그램 확인.html (セキュリティプログラム確認.html) |
| --- | --- | --- |
| MD5 | be978477fe7c179cb9607a6e08a05dff | 8833a270ddef0f464d5916958b6778e6 |
| 模倣機関 | 国民健康保険公団 | DB損害保険 |
| 識別子 | gateless | gateless |
| User-Agentベースのモバイル環境検知 | O | X |
| ポーリング周期 | 3秒 | 5秒 |
| ポーリングURL | hxxps://pipeline[.]embeddedonline[.]org/check.php?x-csrf-token=gateless | hxxps://pipeline[.]embeddedonline[.]org/check.php?x-csrf-token=gateless |
| トラッキングピクセルURL | hxxps://appview[.]imagetemplate[.]com/gateless_icon<カウンター>.png | hxxps://appview[.]imagetemplate[.]com/gateless_icon<カウンター>.png |
| 実行機能 | トラッキングピクセルの挿入
被害者のリダイレクト | マルウェア配布
マルウェア実行有無 of 確認
トラッキングピクセルの挿入 |
| マルウェアダウンロードURL | 該当なし | hxxps://pipeline[.]embeddedonline[.]org/download3.php?sessid=54126&user-token=gateless |

| **ファーミング名** | 보안 검사.html (セキュリティ検査.html) | 보안프로그램 확인.html (セキュリティプログラム確認.html) |
| --- | --- | --- |
| MD5 | be978477fe7c179cb9607a6e08a05dff | 8833a270ddef0f464d5916958b6778e6 |
| 模倣機関 | 国民健康保険公団 | DB損害保険 |
| 識別子 | gateless | gateless |
| User-Agentベースのモバイル環境検知 | O | X |
| ポーリング周期 | 3秒 | 5秒 |
| ポーリングURL | hxxps://pipeline[.]embeddedonline[.]org/check.php?x-csrf-token=gateless | hxxps://pipeline[.]embeddedonline[.]org/check.php?x-csrf-token=gateless |
| トラッキングピクセルURL | hxxps://appview[.]imagetemplate[.]com/gateless_icon<カウンター>.png | hxxps://appview[.]imagetemplate[.]com/gateless_icon<カウンター>.png |
| 実行機能 | トラッキングピクセルの挿入
被害者のリダイレクト | マルウェア配布
マルウェア実行有無 of 確認
トラッキングピクセルの挿入 |
| マルウェアダウンロードURL | 該当なし | hxxps://pipeline[.]embeddedonline[.]org/download3.php?sessid=54126&user-token=gateless |

caption - 追加のセキュリティプログラム模倣ページの比較

両方のhtmlファイルとも、アクセス時に「セキュリティプログラム検査中」という文言とともに、ローディング画面を表示する。

caption - 新規セキュリティプログラム検査模倣ページ1

caption - 新規セキュリティプログラム検査模倣ページ2

보안프로그램 확인.htmlには、マルウェアが実行中であるか確認するJSONPロジックが存在する。本稿では、配布ページがJSONPを利用してローカルサーバーと通信し、マルウェアが実行中であるか確認するこの手法を「JSONPing」と命名する。配布ページは、"vp20_" + Date.now()形式の固有のグローバルコールバック関数をwindowオブジェクトに登録し、これをcallbackパラメータとしてlocalhost:16106にリクエストする<script>タグをDOMに挿入する。

caption - JSONPingコールバック関数登録ルーチン

ブラウザは<script>タグにSOP（同一起源ポリシー）を適用しないため、マルウェアが構築したローカルサーバーにGETリクエストが送信され、応答がスクリプトとして実行されると事前に登録されたコールバックが呼び出され、返されたオブジェクトのres値を検査する。値が0であれば、マルウェアが実行中であると判断する。

caption - JSONPingリクエストルーチン

JSONPingによる確認の結果、マルウェアが未実行状態の時にインストール誘導ポップアップを表示し、確認ボタンのクリック時にdownloadProgram関数を呼び出してマルウェアのダウンロードおよび実行を誘導する。しかし、分析した時点ではマルウェアのダウンロードURLが非アクティブ化されていたため、それ以降の攻撃チェーンは確保できなかった。

downloadProgram 호출 시 나타나는 보안 프로그램 설치 유도 팝업

caption - downloadProgramの呼び出し時に表示されるセキュリティプログラムインストール誘導ポップアップ

5. 追加のマルウェア - スピアフィッシング戦術

分析の過程で、スピアフィッシングに使用されたと推定されるKimsukyのscr、exe、jseドロッパーマルウェア4種を確保した。追加のドロッパーマルウェアはすべて、実行時に組み込まれたおとり文書を表示した後、ダウンローダーマルウェアを実行する。おとり文書として国内（韓国）企業の内部文書が使用された事例が多数確認されており、国内企業の組織関係者を対象にスピアフィッシングを行った可能性が高い。確保した追加のドロッパーマルウェア情報は以下の表の通りである。

| ファイル名 | MD5 | 生成されたダウンローダーのコンパイル時刻 | ダウンロードURL | 最終マルウェア |
| --- | --- | --- | --- | --- |
| Screenshot 2026-02-24 085012.scr | d09c0744273355b6da719fdb62923bed | 2026年 2月 20日 00:18:02 UTC | hxxps://load[.]serverpit[.]com/fwrite.php | 確認されず |
| 未確認 (おとり文書: 엑셀데이터베이스활용설문지_성명.hwp) | f57a9e973e1cecd6b361467041e464f4 | 2026년 3월 4일 02:17:26 UTC | hxxps://load[.]erasecloud[.]n-e[.]kr/login.php | 確認されず |
| 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jse | 1efaf988fded55cd3b974c66f4ca8f7e | 2026年 4月 6日 06:26:12 UTC | hxxps://bigfile[.]jaycloudlab[.]com/download.php?id=745896 | HttpSpy |
| 420109_최종본_수정요청2차_반영.hwp.jse | bd8e948a6e61436532cd2ed2b62db3f3 | 2026年 4月 20日 13:45:20 UTC | hxxps://download[.]birdriver[.]org/download.php?id=393156 | HttpSpy |

| ファイル名 | MD5 | 生成されたダウンローダーのコンパイル時刻 | ダウンロードURL | 最終マルウェア |
| --- | --- | --- | --- | --- |
| Screenshot 2026-02-24 085012.scr | d09c0744273355b6da719fdb62923bed | 2026年 2月 20日 00:18:02 UTC | hxxps://load[.]serverpit[.]com/fwrite.php | 確認されず |
| 未確認 (おとり文書: 엑셀데이터베이스활용설문지_성명.hwp) | f57a9e973e1cecd6b361467041e464f4 | 2026년 3월 4일 02:17:26 UTC | hxxps://load[.]erasecloud[.]n-e[.]kr/login.php | 確認されず |
| 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jse | 1efaf988fded55cd3b974c66f4ca8f7e | 2026年 4月 6日 06:26:12 UTC | hxxps://bigfile[.]jaycloudlab[.]com/download.php?id=745896 | HttpSpy |
| 420109_최종본_수정요청2차_반영.hwp.jse | bd8e948a6e61436532cd2ed2b62db3f3 | 2026年 4月 20日 13:45:20 UTC | hxxps://download[.]birdriver[.]org/download.php?id=393156 | HttpSpy |

| ファイル名 | MD5 | 生成されたダウンローダーのコンパイル時刻 | ダウンロードURL | 最終マルウェア |
| --- | --- | --- | --- | --- |
| Screenshot 2026-02-24 085012.scr | d09c0744273355b6da719fdb62923bed | 2026年 2月 20日 00:18:02 UTC | hxxps://load[.]serverpit[.]com/fwrite.php | 確認されず |
| 未確認 (おとり文書: 엑셀데이터베이스활용설문지_성명.hwp) | f57a9e973e1cecd6b361467041e464f4 | 2026년 3월 4일 02:17:26 UTC | hxxps://load[.]erasecloud[.]n-e[.]kr/login.php | 確認されず |
| 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jse | 1efaf988fded55cd3b974c66f4ca8f7e | 2026年 4月 6日 06:26:12 UTC | hxxps://bigfile[.]jaycloudlab[.]com/download.php?id=745896 | HttpSpy |
| 420109_최종본_수정요청2차_반영.hwp.jse | bd8e948a6e61436532cd2ed2b62db3f3 | 2026年 4月 20日 13:45:20 UTC | hxxps://download[.]birdriver[.]org/download.php?id=393156 | HttpSpy |

caption - スピアフィッシングドロッパーマルウェア一覧

追加のマルウェアのうち、420109_최종본_수정요청2차_반영.hwp.jse（420109_最終版_修正要請2次_反映）と2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jse（2026-0146-SQISOFT-網連携システム保守発注）は、最終的にWebexなりすまし事例と完全に同一のHttpSpyを流布していることが確認された。おとり文書として使用された420109_최종본_수정요청2차_반영.hwpの文書情報において、最後に保存した人物がjiraと記録されており、これは以前Webexなりすまし事例で分析されたmTSTCv8.mdxmファイルのPDBパスで確認されたユーザー名と同一である。

caption - 文書情報

420109_최종본_수정요청2차_반영.hwp.jseがダウンロードする「engine.dat」は、Webexなりすまし事例のインストーラーマルウェアと完全に同一のファイルであり、2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jseがダウンロードするcache.dbは、結果的に完全に同じHttpSpyメインモジュールを実行する別のインストーラーマルウェアである。

| ファイル名 | ダウンロードペイロード | ダウンロードURL | インストーラー RC4 キー |
| --- | --- | --- | --- |
| 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jse | cache.db | hxxps://bigfile[.]jaycloudlab[.]com/download.php?id=745896 | #RsfsetraW#@EsfesgsgAJOPj4eml;-nRGdcsedfd@#%dg9ser3$#$^@34sdfxl |
| 420109_최종본_수정요청2차_반영.pdf.jse | engine.dat | hxxps://download[.]birdriver[.]org/download.php?id=393156 | %^fseRW#r3qwrwfsddREfGEgse)(14);-nRGdcsedfd@#%dg9ser3$#$^@34sdfxl |

| ファイル名 | ダウンロードペイロード | ダウンロードURL | インストーラー RC4 キー |
| --- | --- | --- | --- |
| 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jse | cache.db | hxxps://bigfile[.]jaycloudlab[.]com/download.php?id=745896 | #RsfsetraW#@EsfesgsgAJOPj4eml;-nRGdcsedfd@#%dg9ser3$#$^@34sdfxl |
| 420109_최종본_수정요청2차_반영.pdf.jse | engine.dat | hxxps://download[.]birdriver[.]org/download.php?id=393156 | %^fseRW#r3qwrwfsddREfGEgse)(14);-nRGdcsedfd@#%dg9ser3$#$^@34sdfxl |

| ファイル名 | ダウンロードペイロード | ダウンロードURL | インストーラー RC4 キー |
| --- | --- | --- | --- |
| 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jse | cache.db | hxxps://bigfile[.]jaycloudlab[.]com/download.php?id=745896 | #RsfsetraW#@EsfesgsgAJOPj4eml;-nRGdcsedfd@#%dg9ser3$#$^@34sdfxl |
| 420109_최종본_수정요청2차_반영.pdf.jse | engine.dat | hxxps://download[.]birdriver[.]org/download.php?id=393156 | %^fseRW#r3qwrwfsddREfGEgse)(14);-nRGdcsedfd@#%dg9ser3$#$^@34sdfxl |

caption - 追加のHttpSpy流布ドロッパーの比較

6. Kimsukyとの関連性

6.1. マルウェアの類似性

6.1.1. 難読化されたjseローダー

攻撃者は、おとり文書とマルウェアを作成して実行する難読化されたjseドロッパーを使用しましたが、この形式のjseローダーマルウェアは、以前からKimsukyが継続的に使用してきた形式として知られています。2021年にESTSecurityが報告したThallium（Kimsukyと同一視されるか、同一の背後組織と推定されるAPTグループ）の攻撃事例で使用されたjseスクリプトでも、同様の形式のbase64デコード、C:\ProgramData パスへのファイル作成、regsvr32.exe を使用したDLL実行ルーティンをすべて確認することができます。

caption - Webex詐称攻撃に使用されたjseドロッパー

2021년 탈륨의 공격에 사용된 jse 드로퍼 (사진 출처: https://blog.alyac.co.kr/3754)

caption - 2021年のThalliumの攻撃に使用されたjseドロッパー（写真の出典： https://blog.alyac.co.kr/3754）

6.1.2. マルウェアの実行フロー

第1の特徴は、後続ペイロードの復号プロセスの類似性です。セキュリティプログラムに偽装した事例のドロッパーマルウェアと、Webex詐称攻撃の spyLoader.dll は、後続のペイロードを復号する際、過去に 2025年 Gen Digitalによって報告された事例でHttpTroyの復号および追加ペイロードの復号に使用されていた以下のRC4キーを再利用していました。

後続ペイロード復号RC4キー： #RsfsetraW#@EsfesgsgAJOPj4eml;

分析された2つの spyInster.dll が設定データを復号するために使用した以下のRC4キーも、2025年5月のHttpSpyの報告事例と同じキーが使用されていました。

設定データ復号RC4キー： RGdcsedfd@#%dg9ser3$#$^@34sdfxl

また、engine.dat で確認されたXORベースの文字列難読化アルゴリズムとAPIハッシング手法は、HttpTroyの事例でも同様に確認されました。

caption - engine.datの文字列難読化解除ルーティン

HttpTroy의 문자열 난독화 해제 루틴 (사진 출처: https://www.gendigital.com/blog/insights/research/dprk-kimsuky-lazarus-analysis)

caption - HttpTroyの文字列難読化解除ルーティン（写真の出典： https://www.gendigital.com/blog/insights/research/dprk-kimsuky-lazarus-analysis）

最後に、セキュリティプログラムの偽装攻撃の追加ペイロードとWebex詐称攻撃のHttpSpyメインモジュールの hello Export関数名は、過去に配布されたHttpTroyマルウェアや、KasperskyのHellodoor関連の報告事例で確認されたKimsukyマルウェアの共通の特徴です。

6.2. インフラの関連性

6.2.1. HTTPS証明書およびASN

Enki Whitehat脅威研究チームは、最近KimsukyがXAMPPのデフォルトHTTPS証明書をインフラ全体で繰り返し使用するパターンを追跡してきました。Appleseed、HttpTroy C&Cサーバーからフィッシングページ、マルウェア配布サーバーに至るまで、同一の証明書の使用が確認されており、本稿で分析されたすべてのインフラでも同じ証明書が確認されました。該当する証明書の詳細情報は以下の表の通りです。

| フィンガープリント | Subject DN | 名前 |
| --- | --- | --- |
| 9de541b039cfdb96c7810df49efd958b28cc2df73e314f67c1a91469a2b19796 | C=DE, ST=Berlin, L=Berlin, O=Apache Friends, CN=localhost | localhost

| フィンガープリント | Subject DN | 名前 |
| --- | --- | --- |
| 9de541b039cfdb96c7810df49efd958b28cc2df73e314f67c1a91469a2b19796 | C=DE, ST=Berlin, L=Berlin, O=Apache Friends, CN=localhost | localhost

| フィンガープリント | Subject DN | 名前 |
| --- | --- | --- |
| 9de541b039cfdb96c7810df49efd958b28cc2df73e314f67c1a91469a2b19796 | C=DE, ST=Berlin, L=Berlin, O=Apache Friends, CN=localhost | localhost

caption - Kimsukyインフラに使用されたXAMPPデフォルトHTTPS証明書

IPの観点でも、Kimsukyが好むASNとの一致が確認されました。本稿のC&CサーバーのIPのうち、 27.102.113[.]106 を除いたすべてが、Kimsukyが繰り返し使用してきた以下の2つのASNに属しています。

ASN: 19318, 26666

XAMPPのデフォルト証明書と特定のASNは、個別にはKimsuky独自の指標とは言えませんが、これら2つの要素が同時に現れた場合、Kimsukyのインフラを特定するための有効な根拠となります。

6.2.2. フィッシングページのcallback確認ルーティン

Kimsukyは2025年から、配布ページでのローカルホストサーバーへのリクエストおよびコールバック登録ルーティンを、ソーシャルエンジニアリング型配布手法に積極的に活用してきました。2025年11月にVirusTotalにアップロードされた recaptcha.html は、当時Kimsukyのインフラとして確認され監視対象となっていた 157.250.202[.]123 で使用されていたものであり、分析した 보안프로그램 확인.html（セキュリティプログラム確認.html）と比較した内容は以下の表の通りです。

| ファイル名 | MD5 | パラメータ | ローカルサーバーポート |
| --- | --- | --- | --- |
| recaptcha.html | 02897faac6e41781152f480565e5d572 | callback-n_  | 62001 |
| 보안프로그램 확인.html (セキュリティプログラム確認.html) | a2547836564b0732c6d02a78702da7e6 | callback-ndata-n_ | 16106

| ファイル名 | MD5 | パラメータ | ローカルサーバーポート |
| --- | --- | --- | --- |
| recaptcha.html | 02897faac6e41781152f480565e5d572 | callback-n_  | 62001 |
| 보안프로그램 확인.html (セキュリティプログラム確認.html) | a2547836564b0732c6d02a78702da7e6 | callback-ndata-n_ | 16106

| ファイル名 | MD5 | パラメータ | ローカルサーバーポート |
| --- | --- | --- | --- |
| recaptcha.html | 02897faac6e41781152f480565e5d572 | callback-n_  | 62001 |
| 보안프로그램 확인.html (セキュリティプログラム確認.html) | a2547836564b0732c6d02a78702da7e6 | callback-ndata-n_ | 16106

caption - JSONPingルーティンの比較

caption - 보안프로그램 확인.html (セキュリティプログラム確認.html) のコールバックルーティン

caption - recaptcha.htmlのコールバックルーティン

さらに、 recaptcha.html には一般的な悪意のあるHTMLコードよりもはるかに詳細な韓国語のコメントやデバッグログ出力コードが含まれており、韓国語を使用する攻撃者がLLMを積極的に活用して該当するHTMLコードを作成した可能性が高いと考えられます。

7. 対応策

7.1. 正常なURLであるかの確認

攻撃者は、被害者がリンクを疑わないよう、正規ドメインと類似した形態のドメインや、同じカテゴリーのキーワードが含まれたドメインを攻撃に活用する。攻撃者が初期アクセス時に活用したドメインは以下の表の通りである。

| 正規のサービスドメイン | フィッシングドメイン |
| --- | --- |
| ibizplus[.]co[.]kr | ibizplus[.]n-e[.]kr |
| meet1754245389211-9925[.]webex[.]com | conference[.]birdriver[.]org

| 正規のサービスドメイン | フィッシングドメイン |
| --- | --- |
| ibizplus[.]co[.]kr | ibizplus[.]n-e[.]kr |
| meet1754245389211-9925[.]webex[.]com | conference[.]birdriver[.]org

| 正規のサービスドメイン | フィッシングドメイン |
| --- | --- |
| ibizplus[.]co[.]kr | ibizplus[.]n-e[.]kr |
| meet1754245389211-9925[.]webex[.]com | conference[.]birdriver[.]org

caption - 正規ドメインとフィッシングドメインの比較

特にKimsukyは、韓国の無料ドメイン発行サービスである내도메인.한국 (mydomain.gq)で発行されたドメインを頻繁に使用するため、以下のドメインが含まれている場合は特に注意する必要がある。

p-e[.]kr
o-r[.]kr
n-e[.]kr
r-e[.]kr
kro[.]kr

また、正規のサービスでは、追加プログラムのインストールが必要な場合、公式のダウンロードページを案内するのが一般的である。非公式のページでセキュリティプログラムやパッチファイルの即時インストールを要求された場合、該当ページのドメインがサービスの公式ドメインと一致するかを必ず確認しなければならない。

caption - Webex公式ダウンロードセンター

7.2. 検証されていないインストールファイルの実行禁止

lnk拡張子を除くほとんどの実行ファイル拡張子は、「ファイル名拡張子」オプションを有効にしておけば、エクスプローラーから直接拡張子を確認できる。必ずエクスプローラーの「ファイル名拡張子」オプションを有効にし、ウェブやネットワークを介してインストールしたファイルは、アイコンと拡張子をより注意深く確認しなければならない。

caption - Windowsエクスプローラーで確認されるjseファイル

本レポートで分析されたセキュリティプログラムを装った悪意のあるコードは、正規のセキュリティプログラムのアイコンをそのまま使用しており、ファイル拡張子も同一であるため、一般のユーザーがファイルの外見だけで悪意の有無を判断することは非常に困難である。ウェブからインストールしたファイルを実行する必要がある場合は、実行前に必ずセキュリティソフトによるスキャンやVirustotalでの照合、配布元の独自による完全性検証などの検証プロセスを経る習慣を身につける必要がある。

caption - 悪意のあるプログラム

caption - 正規のインストールプログラム

8. おわりに

本記事では、2026年4月までに確認されたKimsukyによる韓国の軍・企業関係者を対象とした攻撃事例を分析した。Kimsukyは単なるマルウェアの配布にとどまらず、JSONPingを通じたリアルタイムの感染有無の確認、窃取したミーティング日程を活用した偽ページの制作など、マルウェア感染の成功率を極大化するための精巧なメカニズムを導入した。

マルウェアの側面では、HttpSpyの実行チェーンがインストーラー - ローダー - メインモジュールの3段階に分離され、Goベースのscrドロッパーの代わりに難読化されたjseドロッパーが採用されるなど、構造的な変化が見られた。この中で、RC4キー、hello Export関数名、XORベースの文字列難読化、HTTPS証明書などのコアコードの特徴とインフラパターンは、過去のキャンペーンと一貫して維持されている。このような一貫した特徴は、KimsukyのTTPが変化しても、これを追跡するための有効な基盤となる。

エンキホワイトハット脅威研究チームは、Kimsukyを含む主要な脅威アクターを継続的に追跡し、脅威インテリジェンスを先制的に共有していく。

9. 付録

付録 A. MITRE ATT&CK

| Tactics | Techniques |
| --- | --- |
| Initial Access | T1566: Phishing |
| Execution | T1059.003: Command and Scripting Interpreter: Windows Command Shell-nT1059.007: Command and Scripting Interpreter: JavaScript-nT1204.002: User Execution: Malicious File |
| Persistence | T1547.001: Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder-nT1053.005: Scheduled Task/Job: Scheduled Task |
| Privilege Escalation | T1134.002: Access Token Manipulation: Create Process with Token |
| Defense Evasion | T1027.009: Obfuscated Files or Information: Embedded Payloads-nT1027.010: Obfuscated Files or Information: Command Obfuscation-nT1027.013: Obfuscated Files or Information: Encrypted/Encoded File-nT1036.004: Masquerading: Masquerade Task or Service-nT1140: Deobfuscate/Decode Files or Information-nT1620: Reflective Code Loading-nT1497.001: Virtualization/Sandbox Evasion: System Checks-nT1055.001: Process Injection: Dynamic-link Library Injection-nT1070.004: Indicator Removal: File Deletion-nT1070.006: Indicator Removal: Timestomp-nT1070.009: Indicator Removal: Clear Persistence |
| Discovery | T1057: Process Discovery-nT1010: Application Window Discovery-nT1012: Query Registry-nT1082: System Information Discovery-nT1083: File and Directory Discovery |
| Collection | T1113: Screen Capture-nT1005: Data from Local System |
| Command and Control | T1071.001: Application Layer Protocol: Web Protocols-nT1132.001: Data Encoding: Standard Encoding-nT1573.001: Encrypted Channel: Symmetric Cryptography-nT1090: Proxy |
| Exfiltration | T1041: Exfiltration Over C2 Channel

| Tactics | Techniques |
| --- | --- |
| Initial Access | T1566: Phishing |
| Execution | T1059.003: Command and Scripting Interpreter: Windows Command Shell-nT1059.007: Command and Scripting Interpreter: JavaScript-nT1204.002: User Execution: Malicious File |
| Persistence | T1547.001: Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder-nT1053.005: Scheduled Task/Job: Scheduled Task |
| Privilege Escalation | T1134.002: Access Token Manipulation: Create Process with Token |
| Defense Evasion | T1027.009: Obfuscated Files or Information: Embedded Payloads-nT1027.010: Obfuscated Files or Information: Command Obfuscation-nT1027.013: Obfuscated Files or Information: Encrypted/Encoded File-nT1036.004: Masquerading: Masquerade Task or Service-nT1140: Deobfuscate/Decode Files or Information-nT1620: Reflective Code Loading-nT1497.001: Virtualization/Sandbox Evasion: System Checks-nT1055.001: Process Injection: Dynamic-link Library Injection-nT1070.004: Indicator Removal: File Deletion-nT1070.006: Indicator Removal: Timestomp-nT1070.009: Indicator Removal: Clear Persistence |
| Discovery | T1057: Process Discovery-nT1010: Application Window Discovery-nT1012: Query Registry-nT1082: System Information Discovery-nT1083: File and Directory Discovery |
| Collection | T1113: Screen Capture-nT1005: Data from Local System |
| Command and Control | T1071.001: Application Layer Protocol: Web Protocols-nT1132.001: Data Encoding: Standard Encoding-nT1573.001: Encrypted Channel: Symmetric Cryptography-nT1090: Proxy |
| Exfiltration | T1041: Exfiltration Over C2 Channel

| Tactics | Techniques |
| --- | --- |
| Initial Access | T1566: Phishing |
| Execution | T1059.003: Command and Scripting Interpreter: Windows Command Shell-nT1059.007: Command and Scripting Interpreter: JavaScript-nT1204.002: User Execution: Malicious File |
| Persistence | T1547.001: Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder-nT1053.005: Scheduled Task/Job: Scheduled Task |
| Privilege Escalation | T1134.002: Access Token Manipulation: Create Process with Token |
| Defense Evasion | T1027.009: Obfuscated Files or Information: Embedded Payloads-nT1027.010: Obfuscated Files or Information: Command Obfuscation-nT1027.013: Obfuscated Files or Information: Encrypted/Encoded File-nT1036.004: Masquerading: Masquerade Task or Service-nT1140: Deobfuscate/Decode Files or Information-nT1620: Reflective Code Loading-nT1497.001: Virtualization/Sandbox Evasion: System Checks-nT1055.001: Process Injection: Dynamic-link Library Injection-nT1070.004: Indicator Removal: File Deletion-nT1070.006: Indicator Removal: Timestomp-nT1070.009: Indicator Removal: Clear Persistence |
| Discovery | T1057: Process Discovery-nT1010: Application Window Discovery-nT1012: Query Registry-nT1082: System Information Discovery-nT1083: File and Directory Discovery |
| Collection | T1113: Screen Capture-nT1005: Data from Local System |
| Command and Control | T1071.001: Application Layer Protocol: Web Protocols-nT1132.001: Data Encoding: Standard Encoding-nT1573.001: Encrypted Channel: Symmetric Cryptography-nT1090: Proxy |
| Exfiltration | T1041: Exfiltration Over C2 Channel

キャプション - MITRE ATT&CK

付録 B. IOCs

MD5

| MD5 | ファイル名 |
| --- | --- |
| 4a476abcf741323b367eda0ec49f8c38 | nos-setup.exe |
| 00f957b7dafd8d210e717041add02eab  | nos_setup.exe |
| cc837d2b2af4bd9c1c3faf61cefeb848  | astx-setup.exe |
| 97b4c2e67e5e18b70949690a69820c2a  | astx_setup.exe |
| bea602695d58cbf25fff058834e36c1d  | MemLoader.dll |
| ea5f32e1273ec93d43ee09a337fb60e1  | calc.exe |
| 0d07fb6d1a3736ea543ab8364115e435 | install.html |
| 6d2dfd7ca77530afec000a197d6b8677 | fix-camera.zip |
| b4dd4c76d7deef4cf532e240b7f84c9d | fix-camera.jse |
| be31a38bab026f229afd5e3174c363f7 | meeting.html |
| c61a6efe1a169c6c1d8595af3ff0dd74 | mTSTCv8.mdxm (loadDll.dll) |
| c6de1be41dcfbad9cae76c58eae7f5a3 | engine.dat (spyInster.dll) |
| 50f619aaba1d28882022ced135b13a07 | cacheMon.dat (spyLoader.dll) |
| a581fdea0970f8a5b6cfec4853c802d7 | httpSpy.dll |
| 9df5ca76ac085b89c1ddcb3963e9fe97 | Webex 騙りページ |
| be978477fe7c179cb9607a6e08a05dff | セキュリティ検査.html |
| 8833a270ddef0f464d5916958b6778e6 | セキュリティプログラム確認.html |
| d09c0744273355b6da719fdb62923bed | Screenshot 2026-02-24 085012.scr |
| fcaf03060e34a73fe499b906492d9f13 | Screenshot 2026-02-24 085012.png |
| dd47c97b44408e0a5ecd8f482fcd0dbc | MemLoader.dll (png) |
| f57a9e973e1cecd6b361467041e464f4 | hwp おとりファイル使用マルウェア |
| 3369b911cf3706a2660d2af9b3c35f9a | エクセルデータベース活用アンケート_氏名.hwp |
| 39e091e981d9daab56e680927508bd1f | MemLoader.dll (hwp) |
| 00fd7272f9a3044b5f62680d9e576e55 | 420109_最終版_修正要請2次_反映.egg |
| bd8e948a6e61436532cd2ed2b62db3f3 | 420109_最終版_修正要請2次_反映.jse |
| 3315229011b2fa2b05bd4c7b4fbb58e3 | d5HaQHe.bt6L |
| a87cd5fd8fe223816005e81e0da70b21 | 420109_最終版_修正要請2次_反映.hwp |
| c05f074c70a6cacb0e6f05578aab3c9d | 2026-0146-SQIソフト-網連携システム保守発注.egg |
| 1efaf988fded55cd3b974c66f4ca8f7e | 2026-0146-SQIソフト-網連携システム保守発注.pdf.jse |
| 50e89a4e50392e4235822e9e92df4c32 | h3ZYBzb.dbei |
| 7b9484d719f39faa71abd90f57525cc8 | 2026-0146-SQIソフト-網連携システム保守発注.pdf |
| 91d1a7153606dedef92502553962cf67 | cache.db (spyInster.dll) |
| 02897faac6e41781152f480565e5d572 | recaptcha.html

| MD5 | ファイル名 |
| --- | --- |
| 4a476abcf741323b367eda0ec49f8c38 | nos-setup.exe |
| 00f957b7dafd8d210e717041add02eab  | nos_setup.exe |
| cc837d2b2af4bd9c1c3faf61cefeb848  | astx-setup.exe |
| 97b4c2e67e5e18b70949690a69820c2a  | astx_setup.exe |
| bea602695d58cbf25fff058834e36c1d  | MemLoader.dll |
| ea5f32e1273ec93d43ee09a337fb60e1  | calc.exe |
| 0d07fb6d1a3736ea543ab8364115e435 | install.html |
| 6d2dfd7ca77530afec000a197d6b8677 | fix-camera.zip |
| b4dd4c76d7deef4cf532e240b7f84c9d | fix-camera.jse |
| be31a38bab026f229afd5e3174c363f7 | meeting.html |
| c61a6efe1a169c6c1d8595af3ff0dd74 | mTSTCv8.mdxm (loadDll.dll) |
| c6de1be41dcfbad9cae76c58eae7f5a3 | engine.dat (spyInster.dll) |
| 50f619aaba1d28882022ced135b13a07 | cacheMon.dat (spyLoader.dll) |
| a581fdea0970f8a5b6cfec4853c802d7 | httpSpy.dll |
| 9df5ca76ac085b89c1ddcb3963e9fe97 | Webex 騙りページ |
| be978477fe7c179cb9607a6e08a05dff | セキュリティ検査.html |
| 8833a270ddef0f464d5916958b6778e6 | セキュリティプログラム確認.html |
| d09c0744273355b6da719fdb62923bed | Screenshot 2026-02-24 085012.scr |
| fcaf03060e34a73fe499b906492d9f13 | Screenshot 2026-02-24 085012.png |
| dd47c97b44408e0a5ecd8f482fcd0dbc | MemLoader.dll (png) |
| f57a9e973e1cecd6b361467041e464f4 | hwp おとりファイル使用マルウェア |
| 3369b911cf3706a2660d2af9b3c35f9a | エクセルデータベース活用アンケート_氏名.hwp |
| 39e091e981d9daab56e680927508bd1f | MemLoader.dll (hwp) |
| 00fd7272f9a3044b5f62680d9e576e55 | 420109_最終版_修正要請2次_反映.egg |
| bd8e948a6e61436532cd2ed2b62db3f3 | 420109_最終版_修正要請2次_反映.jse |
| 3315229011b2fa2b05bd4c7b4fbb58e3 | d5HaQHe.bt6L |
| a87cd5fd8fe223816005e81e0da70b21 | 420109_最終版_修正要請2次_反映.hwp |
| c05f074c70a6cacb0e6f05578aab3c9d | 2026-0146-SQIソフト-網連携システム保守発注.egg |
| 1efaf988fded55cd3b974c66f4ca8f7e | 2026-0146-SQIソフト-網連携システム保守発注.pdf.jse |
| 50e89a4e50392e4235822e9e92df4c32 | h3ZYBzb.dbei |
| 7b9484d719f39faa71abd90f57525cc8 | 2026-0146-SQIソフト-網連携システム保守発注.pdf |
| 91d1a7153606dedef92502553962cf67 | cache.db (spyInster.dll) |
| 02897faac6e41781152f480565e5d572 | recaptcha.html

| MD5 | ファイル名 |
| --- | --- |
| 4a476abcf741323b367eda0ec49f8c38 | nos-setup.exe |
| 00f957b7dafd8d210e717041add02eab  | nos_setup.exe |
| cc837d2b2af4bd9c1c3faf61cefeb848  | astx-setup.exe |
| 97b4c2e67e5e18b70949690a69820c2a  | astx_setup.exe |
| bea602695d58cbf25fff058834e36c1d  | MemLoader.dll |
| ea5f32e1273ec93d43ee09a337fb60e1  | calc.exe |
| 0d07fb6d1a3736ea543ab8364115e435 | install.html |
| 6d2dfd7ca77530afec000a197d6b8677 | fix-camera.zip |
| b4dd4c76d7deef4cf532e240b7f84c9d | fix-camera.jse |
| be31a38bab026f229afd5e3174c363f7 | meeting.html |
| c61a6efe1a169c6c1d8595af3ff0dd74 | mTSTCv8.mdxm (loadDll.dll) |
| c6de1be41dcfbad9cae76c58eae7f5a3 | engine.dat (spyInster.dll) |
| 50f619aaba1d28882022ced135b13a07 | cacheMon.dat (spyLoader.dll) |
| a581fdea0970f8a5b6cfec4853c802d7 | httpSpy.dll |
| 9df5ca76ac085b89c1ddcb3963e9fe97 | Webex 騙りページ |
| be978477fe7c179cb9607a6e08a05dff | セキュリティ検査.html |
| 8833a270ddef0f464d5916958b6778e6 | セキュリティプログラム確認.html |
| d09c0744273355b6da719fdb62923bed | Screenshot 2026-02-24 085012.scr |
| fcaf03060e34a73fe499b906492d9f13 | Screenshot 2026-02-24 085012.png |
| dd47c97b44408e0a5ecd8f482fcd0dbc | MemLoader.dll (png) |
| f57a9e973e1cecd6b361467041e464f4 | hwp おとりファイル使用マルウェア |
| 3369b911cf3706a2660d2af9b3c35f9a | エクセルデータベース活用アンケート_氏名.hwp |
| 39e091e981d9daab56e680927508bd1f | MemLoader.dll (hwp) |
| 00fd7272f9a3044b5f62680d9e576e55 | 420109_最終版_修正要請2次_反映.egg |
| bd8e948a6e61436532cd2ed2b62db3f3 | 420109_最終版_修正要請2次_反映.jse |
| 3315229011b2fa2b05bd4c7b4fbb58e3 | d5HaQHe.bt6L |
| a87cd5fd8fe223816005e81e0da70b21 | 420109_最終版_修正要請2次_反映.hwp |
| c05f074c70a6cacb0e6f05578aab3c9d | 2026-0146-SQIソフト-網連携システム保守発注.egg |
| 1efaf988fded55cd3b974c66f4ca8f7e | 2026-0146-SQIソフト-網連携システム保守発注.pdf.jse |
| 50e89a4e50392e4235822e9e92df4c32 | h3ZYBzb.dbei |
| 7b9484d719f39faa71abd90f57525cc8 | 2026-0146-SQIソフト-網連携システム保守発注.pdf |
| 91d1a7153606dedef92502553962cf67 | cache.db (spyInster.dll) |
| 02897faac6e41781152f480565e5d572 | recaptcha.html

キャプション - MD5

IP

163.245.221[.]218
163.245.215[.]46
27.102.113[.]106
157.250.202[.]123

URL

hxxps://www.ibizplus.n-e[.]kr/install.html
hxxps://load.serverpit[.]com/fwrite.php
hxxps://load[.]erasecloud[.]n-e[.]kr/login.php
hxxps://conference.birdriver[.]org/
hxxps://download.birdriver[.]org/download.php?id=425623
hxxps://download[.]birdriver[.]org/download.php?id=393156
hxxp://hdrgdrfes[.]chickenkiller[.]com/index.php
hxxps://pipeline[.]embeddedonline[.]org/check.php?x-csrf-token=gateless
hxxps://appview[.]imagetemplate[.]com/gateless_icon<カウンター>.png
hxxps://pipeline[.]embeddedonline[.]org/download3.php?sessid=54126&user-token=babymetalsave
hxxps://pipeline[.]embeddedonline[.]org/check.php?x-csrf-token=babymetalsave
hxxps://appview[.]imagetemplate[.]com/babymetalsave_icon<カウンター>.png
hxxps://meet1754245389211-9925[.]webex[.]com/meet1754245389211-9925/j.php?MTID=mb755b0b9133ae8f9e3608b0b519d6a35
hxxps://bigfile[.]crabdance[.]com/recaptcha.html

PDB パス

C:\Users\jira\Documents\My_Received_Files\loadDll\x64\Release\loadDll.pdb

User-Agent

Mozilla / 5.0 (Windows NT 10.0; Win64; x64) AppleWebKit / 537.36 (KHTML, like Gecko) Chrome / 120.0.0.0 Safari / 537.36

付録 C. Metadata

RC4 キー

#RsfsetraW#@EsfesgsgAJOPj4eml;
%^fseRW#r3qwrwfsddREfGEgse)(14);
RGdcsedfd@#%dg9ser3$#$^@34sdfxl

ユーザー名

jira

付録 D. 分析ツール検知リスト

プロセス名

| リスト | リスト |
| --- | --- |
| ollydbg | ProcessHacker |
| tcpview | autoruns |
| filemon | procmon |
| regmon | procexp |
| idaq | ImmunityDebugger |
| Wireshark | dumpcap |
| HookExplorer | ImportREC |
| PETools | LordPE |
| SysInspector | proc_analyzer |
| sysAnalyzer | sniff_hit |
| windbg | joeboxcontrol |
| joeboxserver | x32dbg |
| x64dbg | Fiddler |
| httpdebugger | cheatengine |
| frida-helper | systemexplorer |
| dbgview | vmtoolsd |
| vm3dservice

| リスト | リスト |
| --- | --- |
| ollydbg | ProcessHacker |
| tcpview | autoruns |
| filemon | procmon |
| regmon | procexp |
| idaq | ImmunityDebugger |
| Wireshark | dumpcap |
| HookExplorer | ImportREC |
| PETools | LordPE |
| SysInspector | proc_analyzer |
| sysAnalyzer | sniff_hit |
| windbg | joeboxcontrol |
| joeboxserver | x32dbg |
| x64dbg | Fiddler |
| httpdebugger | cheatengine |
| frida-helper | systemexplorer |
| dbgview | vmtoolsd |
| vm3dservice

| リスト | リスト |
| --- | --- |
| ollydbg | ProcessHacker |
| tcpview | autoruns |
| filemon | procmon |
| regmon | procexp |
| idaq | ImmunityDebugger |
| Wireshark | dumpcap |
| HookExplorer | ImportREC |
| PETools | LordPE |
| SysInspector | proc_analyzer |
| sysAnalyzer | sniff_hit |
| windbg | joeboxcontrol |
| joeboxserver | x32dbg |
| x64dbg | Fiddler |
| httpdebugger | cheatengine |
| frida-helper | systemexplorer |
| dbgview | vmtoolsd |
| vm3dservice

キャプション - プロセス名

ウィンドウタイトル

| リスト | リスト |
| --- | --- |
| debugview | sysinternals |
| ida | Process Hacker |
| Immunity Debugger

| リスト | リスト |
| --- | --- |
| debugview | sysinternals |
| ida | Process Hacker |
| Immunity Debugger

| リスト | リスト |
| --- | --- |
| debugview | sysinternals |
| ida | Process Hacker |
| Immunity Debugger

キャプション - ウィンドウタイトル

エンキホワイトハット

ENKI ホワイトハット

オフェンシブセキュリティの専門企業として、攻撃者の視点から次元の異なるセキュリティを提示します。

新型Gomir Familyを利用したKimsukyによる国内グループウェア開発企業への攻撃分析

脅威インテリジェンス

新型Gomir Familyを利用したKimsukyによる国内グループウェア開発企業への攻撃分析

毎年脆弱性診断を受けているのに、なぜ脆弱性はなくならないのか？脆弱性診断を受ける側だった私が、攻撃者の視点に立って見えてきた変化したこと

セキュリティインサイト

毎年脆弱性診断を受けているのに、なぜ脆弱性はなくならないのか？脆弱性診断を受ける側だった私が、攻撃者の視点に立って見えてきた変化したこと

パッチ配布から1時間で攻撃コードが登場する時代、「たまに実施するメンテナンス」はもはやセキュリティとは言えない

パッチ配布から1時間で攻撃コードが登場する時代、「たまに実施する点検」はもはやセキュリティとは言えない

セキュリティインサイト

パッチ配布から1時間で攻撃コードが登場する時代、「たまに実施する点検」はもはやセキュリティとは言えない

リストに戻る

脅威インテリジェンス

新型Gomir Familyを利用したKimsukyによる国内グループウェア開発企業への攻撃分析

エンキホワイトハット

2026/07/20

脅威インテリジェンス

新型Gomir Familyを利用したKimsukyによる国内グループウェア開発企業への攻撃分析

エンキホワイトハット

2026/07/20

脅威インテリジェンス

GitHubを通じて拡散されたVSCode悪用のContagious Interviewキャンペーン

エンキホワイトハット

2026/02/27

脅威インテリジェンス

GitHubを通じて拡散されたVSCode悪用のContagious Interviewキャンペーン

エンキホワイトハット

2026/02/27

脅威インテリジェンス

ゲームモードのインストールファイルに偽装したWindows用EtherRATマルウェア

エンキホワイトハット

2026/01/20

脅威インテリジェンス

ゲームモードのインストールファイルに偽装したWindows用EtherRATマルウェア

エンキホワイトハット

2026/01/20

隙のないセキュリティ設計の始まり、NO.1ホワイトハッカーのノウハウから

インシデント発生前、
今すぐ備えましょう

お問い合わせ

隙のないセキュリティ設計の始まり、
No.1ホワイトハッカーのノウハウから

インシデント発生前、
今すぐ備えましょう

お問い合わせ

隙のないセキュリティ設計の始まり、
No.1ホワイトハッカーのノウハウから

インシデント発生前、
今すぐ備えましょう

お問い合わせ

購読する

コンテンツが役に立ったら？
エンキーレターを購読しましょう！

Kimsukyの高度化した攻撃手法の分析：JSONPing、Webex自称、そして新たなHttpSpy変種の登場

Kimsukyの高度化した攻撃手法の分析：JSONPing、Webex自称、そして新たなHttpSpy変種の登場

Kimsukyの高度化した攻撃手法の分析：JSONPing、Webex自称、そして新たなHttpSpy変種の登場

概要

1. 概要

2. 背景

3. セキュリティプログラムの偽装

3.1. 偽のセキュリティプログラムインストールページ

3.2. ドロッパーおよびダウンローダー

3.2.1. nos-setup.exe & astx-setup.exe

3.2.2. MemLoader.dll

4. Webexのなりすまし

4.1. 偽のWebexミーティングページ

4.2. jseドロッパーおよびダウンローダー

4.2.1. fix-camera.jse

4.2.2. mTSTCv8.mdxm (loadDll.dll)

4.3. HttpSpy変種の実行チェーン

4.3.1. engine.dat (spyInster.dll)

4.3.2. cacheMon.dat (spyLoader.dll)

4.3.3. HttpSpyメインモジュール

4.4. 追加のセキュリティプログラム模倣ページ

5. 追加のマルウェア - スピアフィッシング戦術

6. Kimsukyとの関連性

6.1. マルウェアの類似性

6.1.1. 難読化されたjseローダー

6.1.2. マルウェアの実行フロー

6.2. インフラの関連性

6.2.1. HTTPS証明書およびASN

6.2.2. フィッシングページのcallback確認ルーティン

7. 対応策

7.1. 正常なURLであるかの確認

7.2. 検証されていないインストールファイルの実行禁止

8. おわりに

9. 付録

付録 A. MITRE ATT&CK

付録 B. IOCs

MD5

IP

URL

PDB パス

User-Agent

付録 C. Metadata

RC4 キー

ユーザー名

付録 D. 分析ツール検知リスト

プロセス名

ウィンドウタイトル

エンキホワイトハット

エンキホワイトハット

新型Gomir Familyを利用したKimsukyによる国内グループウェア開発企業への攻撃分析

新型Gomir Familyを利用したKimsukyによる国内グループウェア開発企業への攻撃分析

新型Gomir Familyを利用したKimsukyによる国内グループウェア開発企業への攻撃分析

毎年脆弱性診断を受けているのに、なぜ脆弱性はなくならないのか？脆弱性診断を受ける側だった私が、攻撃者の視点に立って見えてきた変化したこと

毎年脆弱性診断を受けているのに、なぜ脆弱性はなくならないのか？脆弱性診断を受ける側だった私が、攻撃者の視点に立って見えてきた変化したこと

毎年脆弱性診断を受けているのに、なぜ脆弱性はなくならないのか？脆弱性診断を受ける側だった私が、攻撃者の視点に立って見えてきた変化したこと

パッチ配布から1時間で攻撃コードが登場する時代、「たまに実施する点検」はもはやセキュリティとは言えない

パッチ配布から1時間で攻撃コードが登場する時代、「たまに実施する点検」はもはやセキュリティとは言えない

パッチ配布から1時間で攻撃コードが登場する時代、「たまに実施する点検」はもはやセキュリティとは言えない

関連記事

新型Gomir Familyを利用したKimsukyによる国内グループウェア開発企業への攻撃分析

新型Gomir Familyを利用したKimsukyによる国内グループウェア開発企業への攻撃分析

GitHubを通じて拡散されたVSCode悪用のContagious Interviewキャンペーン

GitHubを通じて拡散されたVSCode悪用のContagious Interviewキャンペーン

ゲームモードのインストールファイルに偽装したWindows用EtherRATマルウェア

ゲームモードのインストールファイルに偽装したWindows用EtherRATマルウェア

インシデント発生前、今すぐ備えましょう

インシデント発生前、今すぐ備えましょう

インシデント発生前、今すぐ備えましょう

インシデント発生前、
今すぐ備えましょう

インシデント発生前、
今すぐ備えましょう

インシデント発生前、
今すぐ備えましょう