サンズラボ、知的財産権侵害を装うメールによる韓国企業の情報漏えいが相次ぐと警告

サンズラボ、知的財産権侵害を装うメールによる韓国企業の情報漏えいが相次ぐと警告

• 攻撃者のTelegramチャンネルから被害者リストを取得。韓国の主要企業・機関も含まれる
• インフォスティーラーとPurehvnc RATの組み合わせで、企業内部ネットワークへの侵入の可能性を警告
• 韓国で感染が増加傾向。NDR製品の導入と個人情報漏えい検索サービスの活用が必要

写真1. サンズラボが発行したマルウェア配布の解析レポート

韓国の企業や機関を狙い、知的財産権の侵害を装った悪意あるメールが無差別に配信されていることが判明した。AIセキュリティ専門企業サンズラボは9日、このサイバー脅威により韓国内だけで約200のシステムが感染し、主要企業、機関、大学、協会など13か所以上が含まれることを確認した解析レポートを発行した。

知的財産権侵害を装う不審メールには、「知的財産権侵害調査のための証拠資料.pdf」「調査報告書.pdf」「違反証拠確認調査報告書.pdf」などに偽装したリンクが含まれる。受信者がリンクをクリックし、ファイルをダウンロードして実行すると、直ちに多段階のマルウェア感染が始まる。

写真2. 実際に受信された知的財産権侵害を装う不審メールの本文。添付の調査報告書をクリックするよう誘導している。

攻撃者はPythonベースの多段階ローダーを使って利用者のPCにインフォスティーラーをインストールし、外部サーバーから取得した追加ペイロードを繰り返し復号する。その過程で、ブラウザー情報、IPアドレス、インストール済みのウイルス対策ソフト、暗号資産ウォレット情報など、さまざまな個人情報が漏えいする。最終的にはPurehvnc RATがインストールされ、攻撃者が感染したシステムを自由に操作できるようになる。

サンズラボの脅威分析チームは、攻撃者が運営するTelegramチャンネルを追跡して被害者リストを取得し、感染規模と対象範囲をより正確に把握した。また、このマルウェアは単なるメールフィッシングを超え、高度な多段階侵入戦略に基づいており、1日平均数十件以上の新規感染が継続して発生する増加傾向にあると分析した。

サンズラボは、漏えいした個人情報が他のサービスへのログインに使われ、企業内部情報の流出など二次・三次被害を引き起こすおそれがあるとして、極めて深刻なサイバー脅威に分類した。直ちに検討すべき点検・対策として、送信元が不明なメールや法的制裁を示唆するメールをクリックしないこと、感染が疑われる場合は速やかにフォレンジック解析と対応を行うこと、メールセキュリティ製品やリアルタイム脅威対応技術の導入を検討することを勧告した。

写真3. 日付別・国別の感染推移を示す資料。韓国が大きな割合を占めていることが分かる。

サンズラボのホ・スマン脅威分析チーム長は「今回の攻撃は、単なるスパムの域を超えた巧妙な標的型攻撃だ。マルウェアに感染すると、個人情報だけでなくシステムの制御権も奪われ、企業全体のインフラまで危険にさらされるおそれがある」と述べた。さらに「疑わしいメールはクリックせず、必ず削除することが重要だ。企業内部の情報漏えいを把握して先手を打つため、NDR（ネットワーク検知・対応）などの製品を導入するとともに、個人情報漏えい検索サービスなどで漏えいの有無を確認する必要がある」と語った。

解析レポート「韓国企業を対象とした著作権を装うメールによるPureHVNCマルウェアの配布」の全文は、サンズラボ公式ブログ（https://blog.naver.com/sandslab）で確認できる。