研究者らは、今回のキャンペーンを、Endpointランサムウェアが関与した過去のKimsukyの攻撃と関連付けました。スクリプトコードの使い回し、一致するマルウェア設定、共通する暗号化機能などが類似点として挙げられます。
2026年9月の事例では、過去の攻撃の中核要素を維持しつつ、配布手法とインフラに変化が見られます。
最初のファイルである「resume.hwp」には、悪意あるOLEデータが埋め込まれています。このファイルを開くと、Hangulのプロセスがユーザーの追加操作なしに「pdf.exe」と「pdf.exe.manifest」の2つのファイルをWindowsの一時フォルダに書き出します。
ただし、これらのファイルが書き出されても、残りの攻撃がすぐに始まるわけではありません。文書には、「resume_{name}.pdf」という名前のPDF 形式の履歴書を開くよう読者を促すハイパーリンクが含まれています。
このリンクをクリックすると、VbsEditのスクリプト実行ツールである「pdf.exe」が起動し、「pdf.exe.manifest」に格納された悪意あるスクリプトが実行されます。このスクリプトは、一時フォルダに「lpe{random value}.bat」という名前のバッチファイルを作成します。
感染はその後、Batch、VBS、PowerShellの各スクリプトを経て進行します。これらの段階で Pythonバックドアが展開され、Quasar RATがインストールされた後、最終的にFunhouseランサムウェアが実行されます。
ASECは、このバッチスクリプトが過去のKimsukyキャンペーンのスクリプトとコードの特徴を共有していることを確認しました。
過去の攻撃でも、多層構造のスクリプトとスケジュールされたタスクを使ってPythonバックドアを展開していました。最初の配布手法が変わっても、攻撃の継続性がうかがえます。
今回のキャンペーンのバッチファイルは定期的に更新されており、追加の永続化メカニズムとして機能していました。これにより、攻撃者は作戦中もアクセスを維持できていました。
Quasar RATは、設定を拡張子「.dwg」のファイルに保存します。9月のキャンペーンでは、設定ファイル名は「dog.dwg」で、2月と6月の事例で使われていた「se.dwg」から置き換えられました。
報告されたバージョンは1.1.8から4.4.3に変わり、コマンドサーバーも70.36.97[.]236:443に変更されました。こうした更新にもかかわらず、3つのサンプルすべてで、実行管理に使われる名前付きオブジェクトであるミューテックス「_QQ_XCZ_VCXZ」が維持されていました。
Funhouseも、6月に確認されたランサムウェアと酷似しています。どちらも暗号化したファイルに「.Funhouse」を付加し、「How To Restore Your Files.Txt」という名前の脅迫文を作成します。
両者は、HC-128による暗号化、CryptGenRandom・Curve25519・SHA-512を用いた鍵生成、72バイトの暗号化フッターを共有しています。
一方、2月のEndpointサンプルはChaCha20を使用しており、関連する ランサムウェアの系譜内で変化が生じていることがわかります。ASECによる過去のEndpoint分析でも、ChaCha20と同じ脅迫文のファイル名が確認されていました。
9月のサンプルでは、連絡先アドレスがFunhouse8764@tutamail[.]comに変更されましたが、その他の識別上の特徴は維持されています。
ASECは、最近使われていた悪意あるショートカットファイルを、見慣れたHangul形式の履歴書に置き換えることで、警戒心が薄れ、クリックを誘いやすくなる可能性があると分析しています。重要な点として、この悪意ある実行チェーンは、文書に埋め込まれたリンクを読者がクリックすることに依存しています。
注： IPアドレスとドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化（[.]など）されています。無害化の解除は、MISP、VirusTotal、SIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/kimsuky-resumes-deliver-ransomware/
