北朝鮮とつながりのあるハッカー集団が、ウクライナ関連の人物・組織を標的に、偽のPDF文書を使って「VelvetCake」と呼ばれるPowerShellマルウェアツールをインストールさせる攻撃キャンペーンを展開しています。
SOCRadarの脅威リサーチユニットはこのキャンペーンを「Operation Conflict Compass」と命名し、TA406やOpal Sleetとしても追跡されているKonniが関与している可能性が高いと中程度の確度で評価しています。
活動は2026年8月上旬から観測されています。研究者らは、攻撃者がロシアによるウクライナ侵攻の今後の動向に関する情報を狙っているとみています。
侵入経路として有力視されているのは、ZIP添付ファイル付きの標的型フィッシングメールです。ZIPの中には、PDFに見せかけたWindowsショートカット(LNK)ファイルが含まれています。
文書のテーマには、ロシア・ウクライナ和平案、ウクライナ人社会研究者の履歴書、ホルムズ海峡情勢が世界の食料価格に与えうる影響などが含まれています。
これらのテーマから、攻撃者が外交関係団体、シンクタンク、研究者、非政府組織(NGO)へのアクセスを狙っている可能性がうかがえますが、確認された被害者リストが存在するわけではありません。
標的がショートカットを開くと、GitHub上に置かれた悪意あるファイルを取得するコマンドが実行されます。そのうちの1つはVBScriptで、OneDriveUpdateSchedulerという名前のスケジュールタスクを作成します。
このタスクは1分おきにPowerShellペイロードを起動し、攻撃者が新たな指令を継続的に確認できるようにします。もう1つのダウンロードファイルがVelvetCakeで、これが追加のスクリプトを取得・実行するマルウェアです。
このキャンペーンでは、韓国とウクライナのウェブサイトが誘導用のおとりコンテンツのホストに使われ、Medianewsonlineのサブドメインが指令サーバー(C2)通信に利用されていました。
研究者らは、同じ悪意あるコンポーネントがトロイの木馬化されたZoomインストーラーにも組み込まれている事例を確認していますが、その正確な配布方法は確認できていません。
別の亜種は、PowerShellコードを取得してディスクにペイロード全体を保存することなくメモリ上で実行できます。こうした複数の経路により、攻撃者は同一のツールを展開する手段を複数持つことになります。
VelvetCakeは、あらゆる機能を内蔵したマルウェアパッケージではなく、軽量なタスクランナーです。攻撃者のインフラに接続し、利用可能なPowerShellスクリプトをダウンロードして実行し、その結果得られたファイルを送り返します。
実際の機能はサーバー側から供給されるスクリプトに含まれているため、攻撃者は感染したコンピューター上のコア部分のペイロードを差し替えることなく、タスクの内容を変更できます。1分おきのスケジュールタスクという設計は、このオンデマンド型の仕組みを繰り返し活動に活用するうえで有用です。
回収された第2段階のスクリプトの一つは、システム情報やネットワーク情報を収集し、実行中のプロセスやセキュリティソフトウェアを確認し、最近開かれたファイルの一覧を取得し、画面をキャプチャしていました。
これらの結果は一時ファイルとして保存された後、攻撃者が制御するインフラに送信され、ローカルのコピーは削除されていました。これは明確な情報収集能力を示すものですが、公開されている調査結果からは、どれだけの数のシステムが侵害されたかまでは判明していません。itnerd
SOCRadarはこの作戦を、ウクライナに焦点を当てたおとり文書、見慣れたショートカット・スクリプトによる感染パターン、インフラの重複、そして攻撃者のタイムゾーンに関する手がかりから、Konniによるものと結び付けています。
注: IPアドレスやドメインは、誤ってアクセス・リンク化されることを防ぐため、意図的に無害化表記(例: [.])にしています。再度有効な表記に戻す作業は、MISP、VirusTotal、または自社のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。
16,000以上のSOCチームがANY.RUNを利用し、脅威調査の効率化と手作業の削減を実現しています。貴チーム向けに詳しく見る
翻訳元: https://cyberpress.org/konni-targets-ukraine-with-velvetcake/
