北朝鮮のKonniグループ、Google Find Hubとカカオトークを悪用　韓国で端末を初期化しマルウェア拡散

北朝鮮工作員、信頼されているアプリを韓国人への攻撃に悪用

韓国のフォレンジック調査員によると、北朝鮮政府を支援するサイバー工作員が連携した攻撃を実行し、日常的なツールを攻撃の足掛かりにした。平壌とつながりのあるKonniグループに関連するこの集団は、Googleアカウントの認証情報を盗み、GoogleのFind Hubサービスを通じてAndroidスマートフォンやタブレットを遠隔操作した後、カカオトークのアカウントを乗っ取って、実際の連絡先ネットワークを通じてマルウェアを拡散させた。研究者らは、北朝鮮に関連する作戦がGoogleアカウントを侵害し、内蔵の管理機能を使ってスマートデバイスを遠隔操作したことが確認された初の事例だと説明している。

Genians Security Centerのセキュリティーアナリストによると、攻撃者はまず税務当局の職員になりすましてマルウェアを仕込んだ。しばらく目立った動きを控えた後、侵入者は盗んだGoogleアカウントにログインした。紛失した端末の位置を特定し、保護するための一般向け安全機能であるFind Hubを通じて、スマートフォンの位置を追跡し、遠隔で工場出荷時設定にリセットした。初期化によって個人データが消去され、警告も一時的に届かなくなった。この状態が次の段階の成功につながった。

標的が電話や通知を受け取れない状態になると、作戦はログイン状態が維持されていたカカオトークのデスクトップ版へと移った。被害者の名前と信頼されているチャット履歴を使い、攻撃者はストレス解消プログラムを装った悪意あるファイルを連絡先リストに送信した。この手口により、社会的な信頼関係を利用してマルウェアを広げることができた。多くの被害者がアカウントにアクセスできないか、スマートフォンの復旧に追われていたため、発覚も遅れた。

Googleは、この活動では有効なアカウントへのアクセス権と正規の機能が悪用されており、AndroidやFind Hubの脆弱性が利用されたわけではないとしている。同社は、2段階認証またはパスキーを有効にし、リスクの高い人には高度な保護機能への登録を勧めている。

攻撃で何が起きたのか

この作戦は、メールを使った誘導、アカウントの窃取、クラウド経由の端末操作、メッセンジャーの悪用を組み合わせ、段階的に進められた。これは、標準搭載のサービスや信頼されているアプリを攻撃者の道具として使う「環境寄生型」の攻撃の一例だ。調査員が詳述した2件の事例には、9月5日と9月15日の事件が含まれており、アカウントが1つ侵害されると、個人的・職業的なつながりを通じて、いかに速くマルウェアが拡散するかを示している。

ステップ1：標的型フィッシングと最初の侵害

侵入は韓国国税庁を装った標的型メッセージから始まった。被害者は、署名済みMSIインストーラーとしてパッケージ化されたファイルなど、正規に見える添付ファイルやインストーラーを開くよう誘導された。これらのファイルは裏でスクリプトを起動し、侵入状態を維持するとともに、リモートアクセスツールをダウンロードした。アナリストは、Lilith RAT、Remcos RAT、Quasar RAT、RftRATなど、Windowsシステムを完全に制御できる複数のマルウェアファミリーに加え、AutoItベースのローダーを確認した。マルウェアは情報を収集し、ブラウザーに保存された認証情報を盗み、活動を監視して、アカウント窃取に向けた環境を整えた。

標的には、北朝鮮からの脱北者や人権擁護活動家を支援する人々が含まれていた。ストレス解消に役立つプログラムを装った誘いもあった。受信者の役割や関心に合わせてメッセージを作り込むことで、攻撃者はファイルが開かれる可能性を高め、個人用コンピューターへの足掛かりを得た。

ステップ2：アカウント乗っ取りとFind Hubの悪用

マルウェアを仕込んだ後、工作員はGoogleやNaverなどのサービスのアカウント認証情報を盗んだ。盗んだGoogleのログイン情報でFind Hubにアクセスした。このサービスでは端末の所有者がスマートフォンの最終確認位置を調べたり、音を鳴らす、工場出荷時設定にリセットするといった操作を指示したりできる。侵入者は位置情報を照会して標的がスマートフォンを使用中でないことを確認し、遠隔リセットを実行した。調査員は、一部の事例で攻撃者がセキュリティー警告メールを削除し、メールボックスのゴミ箱を空にして痕跡を隠した形跡も見つけた。復旧を妨げ、端末に残る証拠を減らすため、複数回のリセット命令が出された。

端末がリセットされると、所有者は新たな通知を確認できなくなった。奇妙なファイルについて問い合わせる連絡先からの緊急メッセージもその一つだ。初期化によって侵入を明らかにする手掛かりも消去され、攻撃者は被害者のアカウントにログインしたままの別の端末から次の段階を実行する時間を得た。

ステップ3：マルウェア拡散の拡声器となったカカオトーク

韓国ではカカオトークが広く使われており、多くの利用者がデスクトップ版にログインしたままにしている。スマートフォンのリセット後、攻撃者は被害者のカカオトークPC版に切り替え、悪意あるファイルをすばやく配布した。被害者本人の名前とプロフィール写真を使い、短いメッセージと添付ファイルを送信するケースが多かった。送信者を信頼した受信者がファイルを開くとマルウェアがインストールされ、侵害された端末が増えた。ある事例では、数分のうちに30人を超える連絡先へメッセージが送られた。別の事例では、その10日後に、別の侵害アカウントから多数の相手に一斉送信された。

攻撃を仕掛けたのは誰か

この活動は、北朝鮮とつながりのあるサイバースパイネットワーク「Konniグループ」によるものとされる。同グループは、KimsukyやAPT37として広く追跡されている組織と重なる部分がある。セキュリティー企業によって、同一または密接に連携する工作員に異なる名称が使われており、Earth Imp、Opal Sleet、Osmium、TA406、Vedaliaなどがある。これらのチームは、韓国の政府機関、教育機関、メディア、市民社会、暗号資産コミュニティーを標的とする作戦で、インフラやツールを共有している。

北朝鮮の工作員には、モバイル端末を標的にしてきた経歴がある。例えば研究者らは、ユーティリティーアプリやセキュリティーアプリを装い、音声の録音、画面の撮影、ファイルの持ち出しができるAndroidスパイウェアを記録している。今回の作戦の特徴は、アカウントベースの端末管理機能を悪用してスマートフォンを初期化し、その直後にデスクトップのメッセンジャーセッションへ切り替えて、さらに拡散させた点にある。この組み合わせは、単一のマルウェアが単独で動くのではなく、複数のプラットフォームにまたがる高度な連携を示している。

Find Hubの悪用が転機となる理由

北朝鮮に関連するグループは長年、独自のマルウェアに盗んだ認証情報や正規ツールを組み合わせてきた。Find Hubの悪用で脅威は一段と高まった。一般向けの安全機能が、遠隔消去と注意そらしの仕組みに転用されたためだ。リセットはスマートフォンを無力化し、スパイ活動の痕跡を消し、最も重要なタイミングで別経路の警告を遮断する。これにより、ログイン状態にあるデスクトップセッションを使って迅速に拡散する隙が生まれる。

この手口はインシデント対応も複雑にする。スマートフォンに残るはずの一部のテレメトリーや証拠は、リセットとともに消失する。関連する活動は端末、クラウドアカウント、デスクトップクライアントに分散している。経緯を完全に再構成するには、防御側が3つすべてからデータを収集する必要がある。Geniansのアナリストは、この手法を北朝鮮に関連する高度な作戦における転換点と評した。

この事件に関する報告書で、Genians Security Centerは次のように記した。

端末の無力化とアカウントを介した拡散を組み合わせた手法は、これまで知られている国家支援型APTの事例に前例がない。

被害者への影響と人々が受けた損害

侵入者は無作為に標的を選んだわけではない。調査員によると、北朝鮮からの脱北者の学生を支援する心理カウンセラーは、9月5日にスマートフォンをリセットされた。その後まもなく、カウンセラーのカカオトークアカウントが使われ、ストレス解消プログラムと表示されたファイルが相談者に送信された。複数の受信者がファイルを開くと、端末が感染した。メッセンジャーとメッセージの内容はいずれも、受信者との信頼関係や関心に付け込むものだった。

その10日後、北朝鮮問題に取り組む人権活動家も同様の被害に遭った。Android端末がFind Hubを通じて遠隔リセットされ、その後、活動家のカカオトークアカウントから知人36人に悪意あるファイルが送信された。いずれの事例でも、重要な最初の数時間、被害者のスマートフォンは電話や警告を受け取れず、異変を察知した連絡先からの警告が遅れた。

一部の被害者は、初期化によって写真、文書、連絡先、仕事の成果物を失った。調査員は感染したPCから、ウェブカメラとマイクを操作できるマルウェアモジュールも見つけた。リセットを実行する前に被害者がその場にいるか確認するため、カメラが使われた可能性への懸念が高まっている。韓国で脱北者や市民団体を支援する人々は、もともと特有のリスクにさらされている。今回の作戦は、日常のデジタル環境が本人に向けた攻撃手段となり、個人的にも職業上も損害をもたらし得ることを示している。

専門家と当局の対応

韓国警察は9月に起きた2件の事件について捜査を開始した。アナリストらは、コードと手法が北朝鮮と関連付けられてきたグループの過去のパターンと一致すると述べた。調査員は、カウンセラーや活動家を含む標的となる可能性のある人々に、デスクトップとモバイルの両方の環境でアカウント侵害がないか徹底的に確認するよう呼びかけた。

セキュリティーチームは、攻撃者がAndroidやFind Hubのプログラム上の欠陥を必要としていなかった点を強調している。必要だったのは有効な認証情報と、信頼されているアプリへのアクセスだった。研究者らは、サービス事業者に対し、遠隔リセットなどの機微な操作にリアルタイムの確認手順を追加するよう推奨している。また、メッセンジャー事業者には、デスクトップクライアントから短時間に多くの連絡先へ実行ファイルを送ろうとした場合、より強い警告を表示するか、送信を遅らせる機能を設けるよう求めている。

Googleとカカオトークのアカウントを守る方法

今回の作戦は、盗まれたログイン情報、ログイン状態が維持されたデスクトップセッション、そして通常は利用者が信頼している機能に依存していた。次の対策でリスクを減らし、アカウントの悪用を難しくできる。

• Googleアカウントで2段階認証を有効にする。パスキーまたはセキュリティキーを優先する。活動家やジャーナリストなど、リスクの高い人はGoogleの高度な保護プログラムに登録する。
• Googleアカウントの設定を開き、セキュリティ診断を実行する。見覚えのない端末やセッションを削除し、知らないサードパーティーへのアクセス権を取り消す。再設定用の電話番号とメールアドレスも確認する。
• Find Hubまたは「デバイスを探す」の設定で、アカウントにひも付いた端末の一覧を確認する。各端末に見覚えがあることを確かめる。強力なPINで端末をロックし、遠隔リセットには本人認証が必要となるようにする。
• メールのセキュリティーを点検する。Gmailで不審なフィルター、転送ルール、委任アクセスがないか確認する。攻撃者は警告を隠すルールを追加することがある。
• 共有PCや管理されていないPCのブラウザーにパスワードを保存しない。マスターパスワードまたはセキュリティキーでロックできる、信頼性の高いパスワードマネージャーを使う。
• Android、Windows、macOS、カカオトークを最新の状態に保つ。カカオトークの設定でアカウントにログインしているPCを確認し、見覚えのないものからログアウトする。
• 知人から届いた場合でも、頼んでいないファイルやアプリのインストーラーには警戒する。ファイルを開く前に、別の連絡手段で送信者に確認する。
• 重要な写真や文書はオフラインでバックアップする。使用していないときに接続を切って保管する外部バックアップは、端末のリセットでは消去されない。
• ログイン通知を有効にし、届いた内容を注意深く読む。不審な通知を受け取っても、通知内のリンクはクリックしない。新しいブラウザーセッションからアカウント設定に直接移動し、利用状況を確認する。

標的になったと思った場合にすぐ取るべき対策

• 自分が管理する安全な端末からGoogleとカカオトークのパスワードを変更し、2段階認証またはパスキーを有効にする。
• Googleアカウントを開き、最近のセキュリティーイベントを確認して、ほかのすべてのセッションからログアウトする。見覚えのないアプリのトークンを取り消す。
• Gmailで不審なフィルターや転送ルールを削除する。カカオトークでは、すべてのPCから強制ログアウトし、使用する端末だけを再認証する。
• スマートフォンがリセットされた場合は、新しい端末として扱う。復元する前にアカウントのパスワードを変更し、再設定情報を確認する。信頼できるバックアップからのみ復元する。
• 自分から届いたメッセージが悪意あるものだった可能性を連絡先に知らせる。受信したファイルを開かず、セキュリティースキャンを実行するよう伝える。
• 可能な限り証拠を保全する。PCを消去しない。不審な活動ログのスクリーンショットを保存し、地元のサイバー犯罪対策部門または信頼できるセキュリティーチームに連絡する。

組織が今すべきこと

韓国に職員がいる組織や、北朝鮮関連の業務に関わる組織は、自らが魅力的な標的であると想定すべきだ。IDセキュリティーとエンドポイント監視を組み合わせた重点的な対策により、リスクを減らし、対応を迅速化できる。

• すべてのGoogle WorkspaceアカウントとIDプロバイダーのアカウントで多要素認証を必須にする。パスキーやハードウェアセキュリティキーなど、フィッシング耐性のある方式を導入する。
• ブラウザーを強化し、管理されていない環境ではパスワードの自動保存を無効にする。職員に企業向けのパスワードマネージャーを提供する。
• AutoItランチャー、MSIスクリプトの悪用、Lilith RAT、Remcos RAT、Quasar RAT、RftRATなど既知のRATファミリーを対象とする、振る舞いベースのルールを備えたエンドポイント検知・対応システムを導入する。
• 可能であれば、外部送信者からの実行ファイル添付やMSIインストーラーを、メールおよびメッセンジャーのゲートウェイでブロックまたは隔離する。
• 利用者アカウントにひも付く端末管理サービスを通じた遠隔リセットや位置情報の繰り返し照会など、不審な操作がないかクラウド監査ログを監視する。
• 税務機関からの通知など、地域に即した誘いを想定したフィッシング訓練を定期的に行う。脱北者や活動家に関する機微な業務を担う職員には、必要なタイミングで研修を実施する。
• アカウント乗っ取りに対する迅速な対応手順を整備し、Googleアカウント、カカオトークのデスクトップ版、モバイル端末のリセットを対象に含める。机上演習で手順を訓練する。
• 職員から届いたように見える不審なメッセージやファイルを連絡できる窓口を設ける。寄せられた報告は優先度の高いものとして扱う。

要点

• 調査員は、韓国人を標的とした新たな作戦を北朝鮮と関連するKonniグループに結び付けている。
• 攻撃者はGoogleの認証情報を盗み、Find HubでAndroid端末を追跡・初期化した後、カカオトークのデスクトップセッションを悪用して連絡先にマルウェアを拡散させた。
• 被害には、北朝鮮からの脱北者の学生を支援するカウンセラーと人権活動家が含まれる。ある事例では30人超、別の事例では36人にマルウェアを含むメッセージが送られた。
• この作戦では、韓国国税庁を装った標的型フィッシング、署名済みMSIインストーラー、AutoItスクリプト、Lilith RAT、Remcos RAT、Quasar RAT、RftRATなどのリモートアクセスツールが使われた。
• 研究者らは、北朝鮮に関連する工作員が侵害したGoogleアカウントを使い、Find Hub経由で端末に遠隔操作の命令を送った初の確認事例だとしている。
• Googleは、AndroidやFind Hubの脆弱性ではなく、正規のアカウント機能と盗まれた認証情報が悪用されたと説明し、2段階認証またはパスキーの利用を呼びかけている。
• 韓国警察が捜査を進めており、セキュリティーチームは、ID保護の強化、端末のセキュリティー対策、メッセンジャーで届いたファイルの慎重な確認を勧めている。
• リスクの高い利用者は高度な保護機能に登録し、Googleとカカオトークにログイン中の端末を点検するとともに、初期化による被害を抑えるためオフラインバックアップを維持すべきだ。