Posted By Hansoyoung , 2022年 March 8日

第20代大統領選挙洋上投票報道資料を装った不正なアレアハングルドキュメントの拡散

大統領選挙を前にして、ASEC 分析チームは「第20代大統領選挙洋上投票報道資料」を装った不正なアレアハングルドキュメントが拡散していることを確認した。攻撃者は2/28に不正なアレアハングルドキュメントを配布しており、この不正なドキュメントは確保できなかったが、当社 ASD(AhnLab Smart Defense)インフラのログによれば内部 OLE オブジェクトを通じてバッチファイルを動かすことで、PowerShell を実行する形式と推定されている。

拡散ファイル名 : 보도자료(220228)_3월_1일___3월_4일_제20대_대통령선거_선상투표_실시(최종).hwp
(翻訳：報道資料(220228)_3月_1日___3月_4日_第20代_大統領選挙_洋上投票_実施(最終).hwp)

[図1]はインフラにより確認されたバッチファイルのパスと、アレアハングルのファイル名である。同じ正常なアレアハングルドキュメントのサイズが 2.06MB である一方、不正なアレアハングルドキュメントは 2.42MB であり、内部に別の BAT ファイルを挿入することでドキュメントが製作されたものと見られる。

%TEMP%\mx6.bat (バッチファイル生成パス)

これに類似した形式の攻撃は、2月7日にも確認されている。記事によれば、攻撃者は中央選挙管理委員会(選管委)を詐称して「第20代大統領選挙選挙権者開票参観人公開募集」という正常なドキュメントを装って、不正なドキュメントを配布した。

https://www.dailynk.com/20220208-4/ (韓国語でのみ提供)

当時拡散した不正なアレアハングルドキュメントと、今回の攻撃に使用されたドキュメントの共通点は以下の通りである。

同じ機関(選管委)を装って不正なアレアハングルドキュメントを配布
OLE オブジェクト方式によりバッチファイルの実行を誘導
2/7の選管委詐称攻撃に使用されたもの($kky4)と類似した変数名($kkx9)を含む PowerShell コマンド
- PowerShell コマンドの一部 : ($kkx9='[DllImport(“user32.dll”)] public static extern bool ShowWindow(int handle, int state);’)