北朝鮮系Kimsukyが偽インストーラーで遠隔操作木馬を配布 — 360が攻撃チェーンと検知回避の手口を公開

中国のセキュリティ企業360の研究組織である360高级威胁研究院（360威胁情报中心）は2026年9月10日、北朝鮮系のAPTグループKimsuky（別名APT-C-55、BabyShark）が、正規アプリを装ったインストーラーから遠隔操作木馬を配布する攻撃活動を確認したとする分析を公開した。360は、日常的な脅威インテリジェンスの収集と分析の過程でこの活動を捕捉したと説明している。

360が示した攻撃チェーンは、偽のインストーラーの実行から、悪性LNKファイル、PowerShellスクリプト、メモリ内に読み込まれる最終ペイロードへと段階的につながる構成になっている。同社は、攻撃者が解析回避、情報窃取、通信制御、永続化の各要素を一つの流れに組み込んでいる点を特徴として挙げている。

攻撃の流れ — 偽インストーラーからLNKへ

360によると、攻撃はOrionQuests-Setup.exeという名称のインストーラーから始まる。このサンプルのMD5は04272144d33668f99f7cf2255289e351、ファイルサイズは5.66MB（5,934,592バイト）で、.NETプログラムとして作られている。360は、コンパイル時刻が攻撃者によって改変されていたと報告している。

利用者がこのインストーラーを実行すると、内部のリソースデータOrionSetup.payload.encからBase64で符号化されたデータを読み出し、AESで復号して圧縮ファイルを展開する。展開されたデータには正規のインストーラーと悪性のLNKファイルが含まれており、正規のインストーラーであるOrionLauncherの画面が表示されて利用者が欺かれる仕組みになっている。

悪性LNKファイルの名称はguide.url.lnkで、MD5は3c64c75c9e6a3da7fbc766deb2081219、サイズは22.89KB（23,439バイト）である。360によると、このLNKファイルはBase64で符号化された引数を保持しており、自身の特定オフセットから指定サイズのデータを読み出してXORで復号し、PowerShellスクリプトとして保存したうえで実行する。

解析回避と情報窃取、偽の「Chrome更新」による永続化

PowerShellスクリプトは、まず解析を避けるための環境チェックを実行する。360が確認した検査対象は次の2種類である。

• 42個のセキュリティツールのプロセス名。idaq64、x64dbg、ProcessHacker、Fiddlerなどが含まれる。
• 仮想環境を示す識別子。VMware、QEMU、KVM、Google Compute Engineなどが対象となる。

スクリプトは、これらのいずれかを検出すると自ら終了して解析を回避する。360は、この検査を通過した場合にのみ次の処理へ進む設計だと説明している。

環境チェックを通過すると、スクリプトはWin32_ComputerSystem、Win32_OperatingSystem、Win32_Processを通じて、コンピューター名、ドメイン名、製造元、型番、メモリ容量、OSバージョン、実行中の全プロセス情報を収集する。360によると、収集した情報はHTTP POSTでhttp[:]//217[.]60[.]36[.]94/unicorn/mort[.]phpへ送信される。

360は、スクリプトが**「Google Chromeの更新」を装った計画タスクを作成して永続化を図る**ことも確認している。この計画タスクによって、端末の起動時と定期的なタイミングで処理が再実行される。

無料ホスティングのJavaScript検証を回避して次のペイロードを取得

360が注目している手口の一つが、攻撃者のサーバー側に置かれたボット対策の回避である。攻撃者が使用したサーバーは無料ホスティングサービス「InfinityFree」上にあり、このサーバーはJavaScriptを実行して正規のCookieを生成しない限り実際のコンテンツを返さない仕組みを備えていた。

360によると、マルウェアはサーバーが返す検証スクリプトを取得し、その中のブラウザー向けの実行ロジックを改変して、Windows標準のcscriptで実行できるローカルJavaScriptに変換した。そのうえで検証用のCookieを自動的に計算し、サーバーのアクセス制限を回避して後続のペイロードを取得したという。

取得したuni.txtもまたPowerShellスクリプトであり、これが次の段階としてtest.bef_friをダウンロードする。360は、正規のブラウザーには不要な処理をスクリプトエンジンで代替させ、検証機構をすり抜けている点をこの攻撃の特徴として挙げている。

ファイル種別の偽装とメモリ内での.NET実行

ダウンロードされたtest.bef_fri（MD57479bedf5813a1527199f8958e898d19、61.50KB）は、ファイルヘッダーをRTF形式に偽装したペイロードである。360はこの手法をファイル種別偽装（File Type Masquerading）と呼び、拡張子や静的な特徴に基づく検知の精度を下げる効果があると説明している。

実行時にはヘッダーが修復されてから解凍され、最終的なペイロードがメモリ内で反射読み込みされて.NETアセンブリとして実行される。360は、ディスク上のファイルを対象とした従来のスキャンでは検知しにくい方式だと指摘している。

遠隔操作木馬「test.bef_fri」の機能

最終ペイロードは、難読化を施したC#のモジュール型バックドアである。360は、ランダムな識別子や無意味な文字列の連結によって静的解析を妨害する作りになっていると説明している。

実行の流れと機能は次のとおりである。

• エントリーポイントはloader.Program.Mainで、まずAssemblyResolveコールバックを登録し、その後Stella_Gary.Program.Main()を呼び出してマネージド層で反射読み込みを行う。
• ソケットを生成し、107[.]172[.]249[.]140の443番ポートへ固定的に接続する。
• 現在のユーザー名、前面にあるウィンドウのタイトル、システムのアイドル時間、管理者権限の有無などの情報を収集し、AESで暗号化してサーバーへ送信する。
• 受信データは先頭1バイトが圧縮フラグ（0は無圧縮、1はLANT1圧縮）、続く4バイトがデータ長を示す形式で解析され、AESで復号したうえで命令として実行される。
• 受信したデータがC#アセンブリである場合は、動的なプラグイン読み込みによって機能を拡張できる。360は、攻撃者が必要に応じて追加モジュールを配信し、標的の端末で多様な操作を実行できる設計だと説明している。

帰属 — 360はKimsuky（APT-C-55）と評価

360は、今回の攻撃手法がKimsukyの過去の攻撃と強く類似しているとして、次の3点を帰属の根拠に挙げている。

1. ペイロードの類似性。今回の攻撃に使われたC#ペイロードは、360が過去に報告したKimsukyのペイロードと類似しており、事実上の改良版と見なせる。いずれもC#で書かれ、TCP接続を確立し、取得する情報（ユーザー名、OS情報、管理者権限の有無、前面ウィンドウのタイトル）が一致し、プラグイン形式で悪性コンポーネントを読み込む。
2. LNKの復号手法。LNKサンプルが自身のデータを読み出し、単一バイトの復号によってPowerShellスクリプトを生成する手法がKimsukyと同一である。
3. 既存報告との一致。LNKを使った攻撃方式、復号方式、環境検査、デバッガー検出が、Kimsukyに帰属されている既存の報告と類似している。

これらの根拠から、360は今回の攻撃を**「比較的確度をもってAPT-C-55（Kimsuky）に帰属させる」**と結論づけている。Kimsukyは、韓国のシンクタンク、政府・外交部門、報道機関、教育・学術機関を長年にわたり標的にしてきた、諜報活動を目的とするグループである。

日本企業にとっては、Kimsukyが韓国や北東アジアの組織を主な標的にしつつ、正規ツールや無料サービスを配布・通信経路に転用している点が参考になる。当サイトは2026年9月10日に、Genians Security Centerが報告したKimsukyによるAIエージェント「opencode」を使ったおとり文書量産の手口を報じている（関連記事）。また9月5日には、Rapid7が報告した北朝鮮系グループによる韓国の自動車・メディア業界を狙うバックドアを報じている（関連記事）。

360の呼びかけ

360は今回の攻撃について、攻撃者が一貫して正規のプラットフォームを通信と配布の経路として悪用している点を強調している。JavaScriptによるボット検証の回避、モジュール型のプラグイン構造、メモリ内での読み込みを組み合わせることで、悪性の通信が正常な業務通信と高度に似通い、従来の検知機構で見つかりにくくなっているという。

そのうえで360は、Kimsukyのツールチェーンがより隠密で柔軟な方向へ継続的に進化していると評価している。利用者に対しては、セキュリティ意識を高め、出所の不明なリンクやファイルに警戒し、不用意なクリックによって機密情報や中核データが漏えいすることを避けるよう呼びかけている。

360が公表したIOC

360は、今回の攻撃で確認された次の指標を公表している。

MD5

• 04272144d33668f99f7cf2255289e351（OrionQuests-Setup.exe）
• 3c64c75c9e6a3da7fbc766deb2081219（guide.url.lnk）
• 7479bedf5813a1527199f8958e898d19（test.bef_fri）
• 9ae48e0ce0dfcac0245237fa220dd52d

C2（360の表記に基づきマスク）

• http[:]//217[.]60[.]36[.]94/unicorn/uni.txt
• http[:]//217[.]60[.]36[.]94/unicorn/mort[.]php
• http[:]//38[.]180[.]204[.]13/unicorn/mort[.]php
• http[:]//38[.]180[.]204[.]13/unicorn/uni.txt
• 107[.]172[.]249[.]140[:]443

出典

• 360威胁情报中心（360高级威胁研究院）「APT-C-55（Kimsuky）组织利用伪装安装包植入远控木马的攻击链分析」 2026年9月10日 https://mp.weixin.qq.com/s?__biz=MzUyMjk4NzExMA==&mid=2247508878&idx=1&sn=d67dbc1305acff320756e665c0c923de