Kimsukyが持続的アクセスのためChrome Remote DesktopとAnyDeskを悪用

北朝鮮の脅威グループKimsukyが、侵害したコンピューターへの侵入経路を複数残しておく手口を身につけました。その一部はごく普通のソフトウェアに偽装されています。ENKI WhiteHatの研究者らは、2026年上半期を通じて活発だった、韓国と日本のユーザーを標的とする一連のフィッシングキャンペーンを発見しました。

感染チェーン:PDFに偽装した悪意あるLNKファイル

被害者はOneDriveでホストされたアーカイブへのリンクを含むメールを受け取ります。アーカイブの中には、文書に偽装した悪意あるLNKショートカットが入っていました。これを実行すると、本物のPDFファイルがおとりとして表示される一方で、裏では静かにスクリプトをダウンロードし、コマンド&コントロールサーバーとの通信を確立します。その後Windowsは、PowerShellコマンドを定期的に実行するよう設計されたスケジュールタスクを作成します。

データ窃取:キー入力、メール、システム情報の収集

悪意あるスクリプトは、感染したコンピューターとインストール済みのセキュリティソフトウェアに関する情報を収集し、キー入力を記録するとともに、OutlookとThunderbirdの両方からメールデータを窃取しました。窃取したデータの外部送信には、攻撃者は自前のコマンド&コントロールインフラと、侵害した韓国のサーバーの両方を利用しました。インフラのアドレスは頻繁に変更され、キャンペーンの追跡を困難にしていました。

正規のリモートアクセスツールの悪用

この作戦を特徴づけていたのは、Kimsukyが正規のリモートアクセスソフトウェア、すなわちChrome Remote DesktopとAnyDeskを利用した点です。同グループは侵害したマシンに両方のツールをインストールし、自身のアカウント情報と紐付けました。Chrome Remote Desktopを昇格した権限で起動するため、攻撃者は正規のシステムユーティリティfodhelper.exeを使ってWindowsのユーザーアカウント制御(UAC)を回避しました。

一方AnyDeskについては、被害者の目から徹底的に隠されていました。専用のスクリプトがアプリケーションのウィンドウを非表示にし、タスクバーのボタンを削除し、通知領域のアイコンを隠す一方、Windowsのスケジュールタスクが5分ごとに必要なコンポーネントを再起動していました。この手法により、防御側が悪意あるコンポーネントの一部を発見して除去したとしても、Kimsukyは侵害したマシンへの制御を維持するための複数の独立した手段を確保できていました。

AIを活用したGmail窃取用Chrome拡張機能

別のモジュールは、Gmailのメッセージと添付ファイルを自動的に窃取するよう設計された悪意あるChrome拡張機能の形をとっていました。そのコード内には、韓国語で書かれた詳細なコメント、デバッグメッセージ、絵文字が見つかりました。ENKI WhiteHatの分析によれば、こうした特徴は、この拡張機能の構築に生成AIが広範に利用されたことを示しています。

Kimsukyの常套手段

ブラウザ拡張機能を通じたGmailデータの窃取は、Kimsukyの活動において以前にも確認されています。2023年、韓国の国家情報院とドイツ連邦憲法擁護庁は、同様の手口を文書化しています。MITRE ATT&CKのデータベースにも、同グループがChrome拡張機能、スケジュールタスク、正規のリモートアクセスツールを一貫して利用してきた記録が残されています。

推奨される検知対策

ENKI WhiteHatは、見慣れないWindowsのスケジュールタスク、予期しないChrome拡張機能、身に覚えのないリモートアクセスソフトウェアがないか確認するよう勧めています。特に、PowerShellやWindows Script Hostを起動するスケジュールタスク、すべてのウェブサイトへのアクセスを要求する未知の拡張機能、そしてユーザー自身がインストールした覚えのないChrome Remote DesktopやAnyDeskのインスタンスには注意を払う必要があります。