［9月｜マルウェア分析レポート］付加価値税申告ファイルを装った文書型マルウェアの分析（Konni APTキャンペーン）

サンズラボの脅威分析チームは、毎月マルウェアを選定してレポートを作成しています。

専門的な分析で把握したマルウェアの特徴、脅威の動向、関連情報などを共有し、安全なサイバー環境の実現を目指しています。

マルウェアの詳しい情報は、サイバー脅威インテリジェンスサービス<CTX>でご確認いただけます。

サンズラボの脅威分析チームは、付加価値税の申告時期を狙ったKonni APTキャンペーンを分析し、脅威の発生元（攻撃国）、使用されたマルウェア、配布経路、類似する悪意のあるファイルなど、さまざまな情報を確認しました。本レポートが、今後同様の攻撃に対する効果的な対応体制を構築する際の参考になれば幸いです。

［目次］

1. 概要／背景

2. マルウェア情報

3. マルウェアの動作フロー

4. 詳細分析

5. 類似する悪意のあるファイルと文書

6. 結論

7. IoC（侵害指標）情報

1. 概要／背景

写真1. 付加価値税の申告時期を狙う文書型マルウェア

最近、付加価値税の申告時期を狙って配布される文書型マルウェアが確認されました。

Konniに関連するマルウェアで、2014年から継続して確認されている攻撃の一種です。付加価値税の申告は、機関や企業にとって非常に重要な時期です。攻撃者はこれを悪用し、修正申告の案内を装ったファイルを添付して、ユーザーに実行を促しました。* 付加価値税の申告は四半期ごとの15日に行われます。

Konni系マルウェアは、難読化したPowerShellスクリプトと実行を誘うタイトルの文書を用いて検知を回避し、被害者のコンピューターから情報を収集した後、追加のマルウェアをインストールします。今回分析したショートカット（LNK）ファイルは、ユーザーがクリックするとマルウェアが実行される仕組みで、段階的なコマンドによりシステム情報を外部へ流出させたり、システムを遠隔操作したりします。

2. マルウェア情報

サンズラボの脅威分析チームの分析により、今回の攻撃に使われたマルウェアは「부가가치세 수정신고 안내(부가가치세사무처리규정).hwp.lnk」で、約200KBのZIP圧縮ファイルとして被害者に配布されていたことが分かりました。

図2. 悪意のあるショートカットファイルの詳細

マルウェアは、内蔵されたスクリプトをWindowsのコマンドラインインターフェース（cmd.exe）で実行するショートカットファイルとして作成されています。クリックすると、cmd.exeを通じて一連のスクリプトが実行されます。また、最小化して実行する設定が適用されているため、ユーザーにはCMDウィンドウの起動が見えません。

図3. 悪意のあるショートカットファイルの実行オプション

セキュリティ製品の検知を回避するため、ファイル全体の約99.7%は繰り返しのダミーデータ（0x09 0x00）で構成されており、ZIP形式での圧縮率が極めて高くなります。圧縮ファイルを受け取ったユーザーは容量が小さいため、正規のファイルと判断して実行する可能性が高くなります。

図4. 悪意のあるショートカットファイルのHex Dump

攻撃に使われた正規の文書は2月に作成されたファイルです。ショートカットファイルを実行すると、約1秒以内に以下の文書がHangulワープロで開かれます。

図5. 攻撃に使われた正規の文書

3. マルウェアの動作フロー

悪意のあるショートカットファイルを実行すると、付加価値税に関する元の文書と悪意のあるスクリプトファイルがドロップされ、実行されます。

被害者には正規の文書を開いたように見えるため、感染に気付きません。その後、一連の処理を通じて、デスクトップ、ダウンロード、ドキュメントの各フォルダーのファイル一覧と、systeminfoコマンドで取得した対象PCのハードウェア／ソフトウェア情報が外部に流出します。

図6. 悪意のあるショートカットファイルの動作フロー

ただし、攻撃者が作成したスクリプトの構文エラーや証明書の問題により、攻撃は成功しなかったと考えられます。文書に含まれるスクリプトではdi372626.zipとgonHE.cabをダウンロードできず、感染したシステムの情報を収集する段階までしか動作しません。

4. 詳細分析

4.1. 부가가치세 수정신고 안내(부가가치세사무처리규정).hwp.lnk

難読化したPowerShellスクリプトを含み、ショートカットファイル内の特定の位置から2つのファイルを抽出した後、XOR演算で復号します。

図7. 難読化したPowerShellスクリプト

ショートカットファイルからPowerShellスクリプトを抽出すると、OffsetとLengthに基づいてファイルを抽出する処理と、XOR復号用のキー情報を確認できます。実行時には元の文書をドロップして開き、通常の文書を実行したように見せかけます。その後、C:\Users\Public\DocumentsにByimtb.cabをドロップし、展開（expand）、自己削除を行って、start.vbsを実行します。

図8. ファイルをドロップするための情報抽出と復号処理

4.2. Byimtb.cab

Byimtb.cabは、攻撃者が悪意のある動作を実行するために機能別に作成したBatchファイルを1つに圧縮したファイルです。攻撃の各段階で成功率を高めるため、機能ごとにモジュール化したと推測できます。

図9. Byimtb.cabに圧縮されているファイルの情報

複数のBatchファイルにstart.vbsとunzip.exeを組み合わせた構成は、Konniの攻撃ツールを特定する重要な手掛かりです。このツールは、APT攻撃でこのようなモジュール化したBatchファイルを使用します。

4.3. start.vbs

Visual Basicで記述されており、Windowsシェルを利用できるCOMオブジェクト（new:9BA05972-F6A8-11CF-A442-00A0C90A8F39）を取得して、32013754.batを実行します。ShellExecuteの第5引数に0を指定し、実行ウィンドウを非表示にします。

図10. 悪意のある動作の起点となるstart.vbsスクリプト

図11. cmd.exeの子プロセスとして実行されるマルウェア

4.4. 32013754.bat

すべての悪意のある動作を制御する中核スクリプトで、start.vbsをスタートアッププログラムにサービス形式で登録し、永続性を維持します。

図12. cmd.exeの子プロセスとして実行されるマルウェア

図13. すべての悪意のある動作を制御する32013754.batスクリプト

図14. スタートアッププログラムへのサービス登録内容

続いて、Batchファイルを実行（call）する処理を詳しく分析すると、以下の順序で進むことが分かります。

① 侵害されたサイトからファイルをダウンロード（71728084.bat）

② システム情報を取得し、悪意のあるドメインへ送信（60646746.bat）

③ 悪意のあるドメインから追加ファイルをダウンロード（23877740.bat）

各段階で外部との通信が必須となり、これにより攻撃者が意図した動作を継続して実行できるようになります。

4.5. 71728084.bat

侵害されたサイトからdi3726.zipをダウンロードし、Byimtb.cabに含まれていたunzip.exeで展開を試みるスクリプトです。展開に成功して1.batが存在する場合は、それを実行した後、圧縮ファイルを削除します。

図15. radionaranjalstereo.comからファイルをダウンロードする71728084.batスクリプト

現在、radionaranjalstereo.comは閉鎖されてアクセスできず、di3726.zipを入手できないため、分析はできません。ただし、公開情報から、このドメインはエクアドル（EC）の放送・メディア制作会社が使用していたことが確認できます。

（左）図16. radionaranjalstereoの関連情報／（右）図17. isitdownrightnow.comで確認したサイトの稼働状況

4.6. 60646746.bat

被害者のダウンロード、ドキュメント、デスクトップにあるファイルとフォルダーの一覧、および感染したPCのハードウェア／ソフトウェア情報を収集し、攻撃者のWebサーバー（sibbss.com）へ送信するスクリプトです。

図18. 情報を流出させる60646746.batスクリプト

このスクリプトにも、Konniの攻撃ツールを特定する重要な手掛かりがあります。収集した情報をtxt拡張子のファイルに書き込み、%COMPUTERNAME%_정보특성.txtという形式のファイル名でupload.phpにアップロードします。Konniのツールは、APT攻撃でこのような一定のパスとファイル名を使用します。

攻撃に使われたWebサーバーは、2021年にリリースされたApache 2.4.52であることが確認されました。この情報から、サーバーは3年前に構築されたと推測できます。また、サーバーのIPアドレスはシンガポールのものと確認されました。

図19. 攻撃者のC&CサーバーのWebサーバーとOSの情報

図20. シンガポールのIPと確認できるwhois検索結果

4.7. 23877740.bat

このスクリプトは、現在時刻（タイムスタンプ）と被害者のコンピューター名を暗号化して攻撃者のWebサーバーに送信し、gonHE.cabをダウンロードします。直前の段階で60646746.batが送信した被害者のシステム情報を使用し、攻撃対象の環境に合った悪意のあるファイルを返すと推測できます。

また、gonHE.cabを展開した後、temprun.batを実行します。このため、攻撃者の最終目的はtemprun.batから確認できると考えられます。

図21. 被害者のPCに合わせた悪意のあるファイルをダウンロードする23877740.batスクリプト

ただし、分析時点では攻撃者のサーバーからgonHE.cabを取得できませんでした。実際の意図や目的を露呈させないよう、攻撃者がダウンロードを停止したと推測できます。以下の図のようにHTTPレスポンスにBodyが存在しないため、gonHE.cabを作成してもデータのない0バイトのファイルになります。

図22. 現在はtemprun.batを含むgonHE.cabを返さない攻撃者のサーバー

4.8. 88079270.bat

ファイルのダウンロードを担う中核モジュールで、攻撃者のダウンロード動作を隠すために構成されています。受け取ったリンクにWebリクエストを送信し、応答値からファイルを作成して、第2引数の値をファイル名に設定します。機能面では、第3引数の値に応じて暗号化送信と平文送信の2つのモードに分かれます。

図23. ファイルのダウンロード機能をモジュール化する88079270.batスクリプト

暗号化送信モードについて、71728084.batからの呼び出しを例に説明します。

図24. ファイルダウンロードモジュールの実行例

「?」の左側のデータがリクエスト先のURLになります。右側は暗号化対象の文字列で、現在時刻の値（タイムスタンプ）が暗号化キーになります。この仕組みで上の例を実行すると、hxxps[:]//radionaranjalstereo.com/wp-content/themes/ai-news/js/inc/get.php?{timestamp}={encryptedString}というWebリクエストが発生します。リクエストを送信し、応答値からファイルを作成します。

88079270.batの特徴として、Webリクエストに「iwr」コマンドレットを使用している点が挙げられます。このコマンドはPowerShell 3.0以降でサポートされており、PowerShell 3.0はWindows 8から標準でインストールされています。攻撃者がWindows 8以降のOSを標的としていたことが分かります。

また、スクリプトの構文エラーや古いTLSバージョンでのリクエストにより、一部のダウンロード機能が正常に動作しないことが確認されました。特に、C&Cサーバーとして使われたradionaranjalstereo.comはHTTPS（SSL）通信を必要とするため、スクリプトによるWebリクエストでエラーが発生します。

- TLS 1.2の使用設定が欠落：[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12;

4.9. 08874295.bat

被害者の情報を攻撃者のサーバーにアップロードするモジュールです。受け取ったファイルを暗号化して指定のWebパスへ送信し、HTTPステータスコードが200（正常）であれば元のファイルを削除してupok.txtを作成します。upok.txtは、悪意のある動作を制御する32013754.batに情報流出の完了を知らせるためのもので、サイズは0バイトです。

図25. ファイルのアップロード機能をモジュール化する08874295.batスクリプト

暗号化されたデータは以下の形式となり、Konni攻撃グループを特定する重要な手掛かりです。同グループはC&Cサーバーとの通信で、次の構造と変数名を使用します。

図26. Konni攻撃ツールの情報流出トラフィックに見られるHTTP POSTパラメーター

図27. 実際の情報流出時のHTTPトラフィック

4.10. 46639707.bat

使用されていないBatchファイルです。第1引数で指定したファイルのパスから最初の項目（ファイルまたはフォルダー）の名前を取得し、第2引数の名前でファイルに保存します。

例えば、46639707.bat “C:\Users\Public\Documents\test.txt” “a.txt”を実行すると、「C:\Users\Public\Documents」にある最初のファイルまたはフォルダーの名前が「a.txt」というファイルに保存されます。

図28. 分析可能なファイルでは使用されていない46639707.batスクリプト

4.11. unzip.exe

正規の展開プログラムで、Info-ZIPプロジェクトの一環としてUnixのunzipコマンドをWindows実行ファイルに移植したものです。Konni攻撃グループの別のAPT攻撃でも、MD5ハッシュ値が同一のunzip.exeが使われていたことが確認されています。

5. 類似する悪意のあるファイルと文書

図29. 類似する悪意のあるZIPファイル

財務関連の文書を装い、類似の攻撃手法や動作を示す悪意のあるファイルが多数確認されています。以下にその一部を示します。

● ファイル名：미신고 자금출처 소명자료 제출 요청안내.zip

- sha256: ef6bcf1657099879e990641d4c23d7fb670e510f85eb66cba4dcc297645a0202

- https://www.virustotal.com/gui/file/ef6bcf1657099879e990641d4c23d7fb670e510f85eb66cba4dcc297645a0202

● ファイル名：소명자료 목록(국세징수법 시행규칙).zip

- sha256: 9762d5c00cdc58e774676ab868a5928466664ba5dc1f063e14b11f302b777995

- https://www.virustotal.com/gui/file/9762d5c00cdc58e774676ab868a5928466664ba5dc1f063e14b11f302b777995

6. 結論

図30. Konni APTキャンペーン

分析者の視点では、公的機関の財務担当者を標的に、偵察と初期侵入経路の確保を狙った攻撃と考えられます。この形態はKonniの攻撃ツールを含むさまざまなAPT攻撃で見られ、北朝鮮のAPT37攻撃グループが継続的に行うキャンペーンと非常によく似ています。

マルウェア分析の観点では、これらのスクリプトはWindows 8以降で正常に実行されます。これは、2020年から公共分野のWindows 7 PCを上位バージョンに置き換えてきたことと一致します。APT37など北朝鮮の攻撃グループは、さまざまな技術を用いて検知を回避し、情報収集を継続しています。今回の攻撃は周到に準備された継続的な攻撃活動を示しており、企業はこのような脅威に注意する必要があります。

ただし、攻撃者のマルウェア制作には不備があったとみられます。少なくとも3年前から使用されていたsibbss.com（176.97.64.174）はHTTP通信のため、各段階の攻撃がエラーなく実行されました。一方、今回確認されたradionaranjalstereo.com（213.158.94.166）はHTTPS（SSL）通信を使用するため、証明書エラーが発生し、ファイルをダウンロードできませんでした。C&Cサーバーとして使われたradionaranjalstereo.comが、攻撃設計の段階で十分に検討されていなかったことを示しています。

7. IoC（侵害指標）情報

7.1. マルウェアのSHA256ハッシュ

- 부가가치세 수정신고 안내(부가가치세사무처리규정).zip / e7a9da4f70299216d368b366a4544ff3b48fad057b3ec7758b6bc9c714ed0683

- 부가가치세 수정신고 안내(부가가치세사무처리규정).hwp.lnk / 6d901221cb5162c190cce720726889ccb1f8435f5d71fb05614672497425e931

- C:\Users\Public\Documents\start.vbs / 670892dc616431a25b6dfcf4d0223bd0b8f974fc533b421aa569a9c175a27625

- C:\Users\Public\Documents\08874295.bat / 8f164ca160b458af126d70f356ad47b6b07be2395dd6b55c8f4e8abddde0eb02

- C:\Users\Public\Documents\23877740.bat / df26abadb207e3e264f1910c5119ce3388f75244a511e86710cfd48584d95696

- C:\Users\Public\Documents\32013754.bat / f212e1414092d09ac103be3f2c48cb253db0b1862b1e20a0f787654dac7b9965

- C:\Users\Public\Documents\46639707.bat / c0b1ee982cc6a2b805ec3a2fa8a59fd8d73da4474f810abc5e1e7a639d777bfa

- C:\Users\Public\Documents\60646746.bat / d81713d1d8d462db8b6468b0a813e8a483c6c3cc5a58f005e0cc08d7786d3b8b

- C:\Users\Public\Documents\71728084.bat / 69f1458e75a5781335f2fb0d751a083791e9f7c3bf19fb7a6abfd04f80fda730

- C:\Users\Public\Documents\88079270.bat / 87e700c2707d58a18fbb9f0085b781794a5d4e302ab973cc20efde4f32f8d53f

- C:\Users\Public\Documents\unzip.exe / 8d9b5190aace52a1db1ac73a65ee9999c329157c8e88f61a772433323d6b7a4a

7.2. システムコマンド

- reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v startsvc1 /t REG_SZ /d "%~dp0start.vbs" /f > nul

7.3. 悪意のあるドメインとパス

- hxxps://radionaranjalstereo.com/wp-content/themes/ai-news/js/inc/get.php?ra=iew&zw=lk0100

- hxxp://sibbss.com/list.php

- hxxp://sibbss.com/post.php

7.4. 関連IPアドレス

- 176.97.64.174

- 213.158.94.166

サイバー脅威は、いつでもどこでも発生する可能性があります。

サンズラボは、最新のマルウェア分析で得られた脅威間の関連情報やIoCを継続的にレポートで共有し、サイバー脅威の予防と安全なサイバー社会の実現を目指しています。