スピアフィッシングキャンペーン、Proton DriveリンクとLNKファイルを悪用しSpyGlaceを配布

APT-C-60脅威アクターは、日本の組織を狙ったスピアフィッシングキャンペーンを継続しています。今回の攻撃では、Proton Drive、Windowsショートカットファイル、信頼された開発者向けプラットフォーム、そしてWindows標準搭載のユーティリティを悪用し、SpyGlaceマルウェアを配布しています。

NetworkSecurity

このグループは、正規サービスの悪用やgit.exeを用いた悪意あるスクリプトの実行といった、これまでに確立された手口の多くを引き続き用いています。しかし今回の攻撃では、ファイル配布の手段としてProton Driveが新たに導入され、ペイロードのホスティングに使われるプラットフォームの種類も拡大しています。

最初の攻撃の糸口は、Proton Driveのリンクを含むスピアフィッシングメールとして届きます。被害者がリンクをクリックすると、RARアーカイブのダウンロードが促されます。このアーカイブには、悪意あるLNKショートカットを含む複数のファイルが格納されています。

このLNKファイルが実行されると、通常のWindowsの動作に紛れ込むよう設計された多段階の感染チェーンが始動します。

まずショートカット自身がコピーを作成し、続いてHTML ApplicationファイルやJavaScriptを実行できる正規のMicrosoftユーティリティであるmshta.exeを起動します。

LNKファイルには難読化されたJavaScriptコードが埋め込まれており、被害者がショートカットを開いた後に呼び出されます。これにより攻撃者は、信頼されたWindowsバイナリを通じて悪意あるロジックを実行できるようになります。

このJavaScriptは、jsDelivrコンテンツデリバリーネットワークからcontributing[1].txtという名前のファイルを取得します。そして、ダウンロードした内容を検索し、デコード・抽出します。

JPCERT/CCによれば、今回のキャンペーンは、これまでの調査で追跡されてきたAPT-C-60の活動が進化したものだといいます。JPCERT/CCはまた、悪意あるファイルがProton Driveを経由せず、メールの添付ファイルとして直接配布された関連事例も確認しています。

抽出されたファイルには正規のgit.exeバイナリが含まれており、これが付随するスクリプトの実行に使われます。

この手法が注目に値するのは、侵入の初期段階で明らかに悪意あると分かる実行ファイルを持ち込むのではなく、正規のソフトウェアに依存している点です。

スピアフィッシングでProton Driveを悪用

実行されたスクリプトは、抽出先のディレクトリに保存された拡張子.dbのファイル群を結合し、ダウンローダーを組み立てます。

このダウンローダーは、GitHubを含む正規のオンラインサービスに接続し、追加のダウンローダーやローダーを取得・実行します。最終的なペイロードはSpyGlaceで、これはAPT-C-60の活動クラスターに関連するマルウェアです。

JPCERT/CCは、$2026$2026年のキャンペーンにおいて、SpyGlaceのバージョン$v3.1.15$v3.1.15、$v3.1.17$v3.1.17、$v3.1.18$v3.1.18を確認しました。

研究者たちは、これらの亜種と過去に分析されたSpyGlaceのサンプルとの間に、機能面での大きな違いは見出していません。

しかし、配布チェーンやインフラの変化は、攻撃者が配布の信頼性を高め、企業の防御を回避しようと継続的に取り組んでいることを示しています。

今回のキャンペーンで特に注目すべきは、インフラ戦略です。APT-C-60はこれまでGitHubとBitbucketを悪用してきましたが、今回の活動ではGitLab、Codeberg、jsDelivrも利用しています。

これらのプラットフォームは開発者に広く利用されており、企業のネットワークポリシーでも許可されていることが多いため、宛先ベースのブロックでは効果が薄くなります。

防御側がファイルのダウンロード、実行チェーン、不審な挙動の兆候を精査しない限り、これらのサービスへの通信は正規のものに見えてしまいます。

組織は、身に覚えのないクラウドストレージのリンク、RARアーカイブ、LNKファイルを高リスクとして扱うべきです。特に、身に覚えのないメールを通じて届いた場合はなおさらです。

セキュリティチームは、ショートカットファイルから起動されるmshta.exeの実行、CDNやコードホスティングサービスからのダウンロードに続くスクリプト実行、そして通常の開発ワークフロー以外でのgit.exeの異常な使用を監視すべきです。

Compliancemanagement tools

IOC

注: IPアドレスおよびドメインは、誤って解決されたりハイパーリンク化されたりすることを防ぐため、意図的に無効化表記（例: [.]）としています。再有効化は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

2019年のSOC向けに書かれたSLAをそのまま受け入れるのはもうやめましょう――2026年版AI SLA ベンダーチェックリストはこちら ―― AI SOC SLAガイドを無料ダウンロード

ComputerSecurity