Larva-24009攻撃者は少なくとも2023年から活動している攻撃者であり、韓国国内外のユーザーを対象にフィッシングメール攻撃を行ってマルウェアをインストールしている。ASEC (AhnLab Security intelligence Center) は2024年にも同攻撃者による攻撃事例を公開しており [1] [2] [3] 、その後 Cyble社も同一の攻撃キャンペーンを「HeptaX」と命名している。 [4]
Larva-24009攻撃者は2026年現在も攻撃を継続しており、本ブログでは2026年に確認された攻撃とマルウェアについて整理する。
2024年と比較すると、使用されるマルウェアは実質的に同じであり、使用されるファイル名にも共通点が確認されている。Larva-24009攻撃者は LNK マルウェアを利用して PowerShell バックドアをインストールし、その後、永続化を確立するとともに QuasarRAT や UltraVNC などのリモート制御ツールを導入する。また、スクリーンショットの取得、キーロギング、認証情報窃取ツールもインストールし、感染システムに保存されているユーザー情報を窃取している。
1. 初期侵入手法
攻撃者は初期侵入の段階でフィッシングメールを利用した攻撃を行っているとみられ、LNK マルウェアが使用された。攻撃に使用された LNK マルウェアのファイル名や生成されたデコイ文書の内容から攻撃対象は企業であることが分かる。2024年以降に確認された事例では、病院アンケート、ブロックチェーン、プロジェクト仕様書、履歴書など、さまざまなテーマが使用されている。
- NovaCX_Agency_Updated_2026047_091100_version_1_8.docx.lnk
- NovaCX_Agency_Updated_2026047_091100_version_3_2.docx.lnk
- NovaCX_Interview_QA+Updated_20260420_162448_version_4_4.docx.lnk
[図1] 攻撃で使用されたデコイ文書ファイル
LNK が実行されると、難読化された PowerShell コマンドが実行される。まずデコイ文書ファイルを %TEMP% パスに生成して表示し、同時に外部から追加の PowerShell スクリプトをダウンロードして実行する。
2. PowerShell マルウェア
最初にダウンロードされる PowerShell スクリプトは C&C サーバーから追加のスクリプトをダウンロードして実行する役割を担っている。このほかにも、永続化を担当する PowerShell スクリプトやスクリーンショットの取得、Windows Defender の無効化などを実行する PowerShell スクリプトが確認されている。
[図2] バックドア機能を担う PowerShell スクリプト
永続化にはタスクスケジューラへの登録方式が使用されており、攻撃事例で確認されたタスク名は以下のとおりである。
- “Intel(R) Ethernet3 Connection 1219-LM”
- “GoogleUpdateTaskMachineCoreUA2{F84AE75F-E9CE-4FC0-9BC8-998371F0931}”
- “GoogleUpdateTaskMachineCoreUA6{F84AE75F-E9CE-4FC0-9BC8-998371F0931}”
| URL | 機能 |
|---|---|
| /res/get-command.php?uid=$gUid | 追加ペイロードのダウンロード |
| /res/post_proc.php?fpath=b_force.ps1 | 永続化用 PowerShell スクリプトのダウンロード |
| /res/post_proc.php?fpath=scheduler-once | 永続化用バッチスクリプトのダウンロード |
| /res/index.php | システム情報の送信 |
| /res/new-upload.php | スクリーンショットの送信 |
[表1] C&C URL による分類
過去の事例と同様に Notifier マルウェアも使用されていたが、以前は PowerShellスクリプトと同じ C&C サーバーアドレスを使用していたのに対し、バージョン2.1では Telegram API を利用して感染状況を攻撃者へ通知するよう変更されている。
[図3] Telegram API を悪用する Notifier マルウェア
3. リモート制御
攻撃者は感染システムを制御するため、Quasar RAT および UltraVNC Server をインストールした。UltraVNC Server が感染システムへインストールされると、設定に応じて5800番や5900番などのポートが開放され、攻撃者は後から UltraVNC Viewer を利用してリモート画面を操作できる。
[図4] UltraVNC Server
攻撃者は RAT マルウェアや UltraVNC をインストールする一方で、RDP を悪用して感染システムを制御しているものと推定される。ダウンロードサーバーには「BootUEFI」という名称のバックドアアカウントを追加するバッチスクリプトも存在していた。
4. 情報収集
情報収集に使用されるツールの大半は、NirSoft社のツールを悪用したものである。攻撃者はこれらを利用して感染システムに保存されたユーザー情報を窃取する。また、スクリーンショットを取得する PowerShell スクリプトや独自に作成したキーロガーマルウェアも使用していた。
[図5] 攻撃者が作成したキーロガーマルウェア
- キーログデータ保存先 – 1 : %ALLUSERSPROFILE%\Microsoft\OneDrive\log.log
- キーログデータ保存先 – 2 : %ALLUSERSPROFILE%\Microsoft\OneDrive\logv.log
| 名前 | 機能 |
|---|---|
| ChromePassView | Chrome Web ブラウザに保存された認証情報の抽出 |
| WebBrowserBookmarksView | Web ブラウザに保存されたブックマーク情報の抽出 |
| Network Password Recovery | システムに保存されたネットワークパスワードの復元 |
| LastActivityView | ユーザーの操作履歴およびコンピューター上で発生したイベントログの収集 |
[表2] 攻撃で使用された NirSoft ツール
5. まとめ
Larva-24009攻撃者は、病院アンケート、ブロックチェーン、プロジェクト仕様書、履歴書などのキーワードを用いたフィッシングメールを利用してマルウェアを拡散している。文書ファイルを装って配布されるため、ユーザーは通常の文書ファイルだと思い込んで添付ファイルをダウンロード・実行してしまう可能性がある。その結果、システムに保存されている認証情報やユーザーファイルなどの機密情報が窃取される恐れがある。
ユーザーはメールの添付ファイルだけでなく、出所が不明な実行ファイルについても十分注意する必要がある。また、V3 を常に最新バージョンへ更新し、マルウェア感染を未然に防止できるよう管理することが重要である。
関連 IOC および詳細な解析情報は、AhnLab の次世代脅威インテリジェンスプラットフォーム 「AhnLab TIP」 サブスクリプションサービスを通して確認できる。