セキュリティ研究者らは、北朝鮮とつながりのあるKimsukyのハッカーが人工知能を利用し、日常的な業務ファイルに見せかけたフィッシング文書を短時間で大量作成している新たな証拠を発見しました。
「Operation GitPower」と名付けられたこのキャンペーンは、AIで作成した偽装文書と、悪意のあるWindowsショートカットファイル、隠蔽されたPowerShellスクリプト、GitHubでホストされたペイロード、さらに侵害端末へのアクセスを維持するためのスケジュールタスクを組み合わせています。
Genians Security Centerは、2026年8月11日から8月19日にかけて確認された13件の悪意のあるLNKファイルを調査しました。
これらのファイルはZIPアーカイブにまとめられ、資金支払い、保険金、利息、証明書更新、顧客記録、小売業務、Visa決済に関する通知を装っていました。
このように偽装の幅が広がっていることから、攻撃者はKimsukyが通常標的とする外交・安全保障・学術関係者に加え、金融機関や企業環境にも標的を広げている可能性がうかがえます。
研究者らはダウンロードされた偽装文書を29件収集しましたが、実際に固有の文書は11件のみでした。これは同グループがランダム化したファイル名の下で同じ素材を繰り返し使い回していたことを示しています。複数のPDFには、AIコーディングエージェントである「opencode」が作成者・制作者として記載されていました。
作者欄は「anonymous(匿名)」となっており、一部のページには「(temporary value)」といった記載がそのまま残っていました。これは、下書きが生成された後、人手による入念な確認を経ずに配布された可能性を示す痕跡です。
他のPDFにはHeadlessChromeやSkia/PDFのメタデータが含まれていました。これらの文言の類似性、定型化されたレイアウト、そして作成時刻が密集していることから、自動化されたワークフローの存在がうかがえます。共通のAIプロンプトやテンプレートからコンテンツが生成され、HTMLからPDFへ変換された上で、異なるフィッシングのテーマに使い回されていたとみられます。
Excelの偽装文書2件のメタデータには、「AzureUser」というアカウント名も含まれていました。AIによってすべての痕跡が消されていたわけではありません。一部のサンプルでは「error」という単語のみが記載されたPDFが開かれ、また韓国語のファイル名の一つでは「renewal(更新)」に相当する単語のスペルが誤っていました。
それでも自動化によって、攻撃者はより多様な偽装文書を迅速に量産し、業務用語を標的に合わせて調整できるようになっています。
一見文書に見えるものは、実際にはLNKショートカットでした。Chromeのアイコンと偽のファイルプロパティ説明を用いることで、無害なファイルに見せかけていました。
そのコマンドは異例なほど長く、約300個の先頭スペースの背後に隠されていました。被害者がショートカットを実行すると、コードがデコードされてPowerShellが起動し、偽装ファイルをダウンロードして表示すると同時に、追加のマルウェアを密かにインストールします。
スクリプトは、ハードコードされた個人アクセストークンを使ってGitHub Rawからコンテンツを取得していました。一部の亜種ではPastebinもペイロード配信のバックアップ経路として利用しており、単一のインフラが摘発された場合の影響を軽減しています。
その後マルウェアは、BitLockerやMATLAB、あるいは.NETコンポーネントを装った名前の隠しスケジュールタスクを作成します。
これらのタスクは後続のスクリプトを繰り返し実行し、一部の亜種は仮想マシンや解析ツールの有無を確認したほか、PowerShellのコマンド履歴を削除し、自らを消去していたとGeniansは述べています。
注記：IPアドレスおよびドメインは、誤ってアクセスまたはリンク化されるのを防ぐため、意図的に無害化表記（例: [.]）にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/north-korea-ai-phishing-surge/
