北朝鮮と関係があるとされるハッキング組織「Konnni（コニ）」が、スピアフィッシングメールとカカオトークを連動させた多段階攻撃を行っていることが確認された。
正常なメールを装ってユーザーのPCにマルウェアを仕込み、奪い取ったメッセンジャーアカウントから周囲の知人にマルウェアを再び流布する手口だ。
3月16日、韓国のサイバーセキュリティ企業「Genians」のセキュリティセンターが発表した「脅威インテリジェンス分析レポート」によると、「Konnni」は最近、このような方式の高度標的型攻撃（APT）を仕掛けている。
攻撃者は「北朝鮮人権講師の委嘱案内」を装ったスピアフィッシングメールを送り、メールに添付された圧縮ファイル内に悪性のショートカット（LNK）ファイルを含ませ、ユーザーに実行させるよう誘導する。ユーザーが文書を開こうとLNKファイルをダブルクリックした瞬間、内部に隠された不正スクリプトが実行され、PCが感染する。
今回の攻撃は、感染した端末にインストールされているPC版カカオトークを攻撃拡散の媒体として活用した点が特徴だ。攻撃者は被害者のPCに長期間潜伏してアカウント情報などを奪取した後、被害者の友人リストからターゲットを選別し、「北朝鮮関連動画の企画案」などを装った悪性ファイルを再送信する手法で攻撃を続けた。
知人からのメッセージであるため、受信者が特別に疑うことなくファイルを開いてしまう可能性が極めて高い。信頼関係を悪用した多段階攻撃の構造が形成されている。また、一次被害者のコンピュータにリモート接続し、ログイン済みのカカオトークを悪用するため、「海外からのアクセス」という通知も表示されない。
「Genians」は巧妙化するAPT攻撃に対抗するため、単純な侵害の痕跡（IoC）中心の遮断にとどまらず、エンドポイント検知・対応（EDR）を軸とした異常挙動への対応体系の導入が急務であると提言した。
組織レベルでメッセンジャーを介したファイル送受信のセキュリティガイド策定や、不自然な大量・反復送信パターンの検知、重要端末のセッション保護の点検などが必要だと指摘している。
「Genians」は「単なる情報奪取を超えた『アカウントベースの再拡散』というリスクモデルだ」とし、「文書アイコンを装ったショートカットファイルや、公文書形式を模した添付ファイルに対してユーザーが警戒心を持てるよう、教育を強化すべきだ」と強調した。
（記事提供＝時事ジャーナル）
前へ
次へ
