北朝鮮とつながりを持つ脅威アクターKimsukyが、悪意あるWindowsショートカット、PowerShellペイロード、正規のリモートアクセスソフトウェア、さらにはGmailのメッセージや添付ファイルを窃取するために設計されたとみられるAI生成のChrome拡張機能を組み合わせたスピアフィッシングキャンペーンで、韓国と日本の組織を標的にしていることが確認されました。
ENKIによると、今回のキャンペーンは、Kimsukyが市販ツールと専用マルウェアを組み合わせることで、アクセスの維持、通信の収集、そしてアンチウイルス検知の回避を図っている実態を浮き彫りにしています。
この侵入は、ZIPアーカイブへのOneDrive共有リンクを含むフィッシングメールから始まります。これらのアーカイブには、日本語の政治関連資料やイベント関連ファイルを装った、悪意ある.lnkショートカットファイルが含まれています。
このショートカットが実行されると、隠された状態でPowerShellコマンドが動作し、標的の注意をそらすためにおとりのPDFを開いた上で、VBScriptペイロードをダウンロードし、被害者のAppDataディレクトリから実行します。
このVBScriptは、感染デバイスのMACアドレスを識別子として使用しながらコマンド&コントロール(C2)サーバーに接続し、サーバー側から提供されたPowerShellスクリプトをメモリ上で直接実行します。
この初期ペイロードは、Chrome_Updateという名前のスケジュールタスクを作成することで永続性を確立し、15分ごとに実行されるよう設定します。この仕組みにより、攻撃者は元のマルウェアを再展開することなく、遠隔から配信するPowerShellコードを変更できます。
Kimsukyが使用するPowerShellスクリプトは、ホストのプロファイリングを行い、インストール済みのセキュリティ製品の詳細情報を収集した上で、その結果を攻撃者が管理するインフラへ送信します。
研究者らは、ローカルのメールクライアントを狙う専用の収集ツールも確認しています。Thunderbirdを標的としたスクリプトは、mboxアーカイブから直近のメールボックスデータを抽出し、個々のメッセージを.emlファイルとして書き出します。
Outlook向けの収集ツールは、2026年1月1日以降の受信トレイと送信済みアイテムを収集し、メッセージ本文、メタデータ、添付ファイルをアカウントごとのディレクトリに保存するとされています。
別のキーロガーは、メモリ上でコンパイルされたインラインC#を使用してキーボード操作をフックします。キー入力は%AppData%\Microsoft\ttmp1.logに書き込まれ、後で別のスクリプトによって収集されるとみられます。この手法により、攻撃者は従来型のコンパイル済みキーロガーバイナリを展開する必要性を減らしています。
今回のキャンペーンで最も注目すべき要素は、「Gmail 자동 서버 업로더」(「Gmail自動サーバーアップローダー」の意)という名称の、悪意あるManifest V3準拠のChrome拡張機能です。
この拡張機能は<all_urls>へのホストアクセスを要求し、該当するサイトにcontent.jsを注入します。Gmailのページ上では、作成画面とメッセージ閲覧ペインの両方を監視します。
被害者がメールを送信または閲覧すると、このスクリプトはメッセージのメタデータ、本文、送受信者情報、添付ファイルのリンクを抽出します。添付ファイルはfetchで取得された後、Base64エンコードされ、バックグラウンドのサービスワーカーに渡されます。
その後、background.jsコンポーネントが、日本の無料ホスティングサービス上でホストされているC2エンドポイントへ、窃取したデータを送信します。
ENKI WhiteHatの指摘によると、この拡張機能には大量の韓国語コメント、デバッグ用文字列、Unicode絵文字といった特徴が含まれており、研究者らはこれらを生成AIによるコード作成支援の兆候だと評価しています。
こうした痕跡だけでは、コードが完全に自律的に生成されたことの証明にはなりませんが、攻撃者がAIツールを活用してブラウザ情報窃取機能の開発を迅速化している可能性を示唆しています。
Kimsukyはまた、対話的なリモートアクセスを維持するためにChrome Remote DesktopとAnyDeskも悪用しました。ある事例では、あるスクリプトがfodhelper.exeを使ってユーザーアカウント制御(UAC)を回避し、昇格した権限でバッチファイルを実行することで、Chrome Remote Desktopをインストールし、攻撃者が用意した認証情報に紐付けていました。
別のコンポーネントはAnyDeskをインストールし、永続化のためのスケジュールタスクを作成した上で、AnyDeskのウィンドウ、タスクバー上の操作パネル、システムトレイのアイコンを隠そうと試みました。
防御側は、wscript.exeやPowerShellを呼び出す予期しないスケジュールタスク、許可されていないリモート管理ツール、見慣れないChrome拡張機能、そして過度に広範な権限を要求する拡張機能を調査すべきです。
また組織は、特に不審な、あるいは文脈上不自然なメールを通じて受信した場合、OneDrive経由で配布されるアーカイブや偽装されたLNKファイルを高リスクな添付ファイルとして扱うべきです。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査体制を強化する
翻訳元: https://cyberpress.org/kimsuky-hackers-use-ai-generated-chrome-extension/
