1. 概要

AhnLab SEcurity intelligence Center (ASEC) は最近、Kimsuky グループが履歴書を装った悪意のあるハングル文書ファイルを通じて最終的に Funhouse ランサムウェアを拡散した事例を確認した。
Funhouse ランサムウェアは、既知の Endpoint ランサムウェアの亜種であることが確認された。また、今回の攻撃に使用された Quasar RAT などのツールや攻撃チェーン全体にも2026年上半期から確認されている Kimsuky による Endpoint ランサムウェアの拡散事例と多くの共通点が見られた。
本ブログでは、最近確認された Funhouse ランサムウェアの拡散事例を分析し、過去の Kimsuky による Endpoint ランサムウェアの拡散事例との関連性を整理する。

[図1] 攻撃に使用されたおとり文書

2. 初期侵入

初期侵入に使用された 「履歴書.hwp」 ファイルの内部には、悪意のある OLE データが埋め込まれている。この HWP 文書を実行すると、ハングルのプロセスが OLE オブジェクトに含まれる 「pdf.exe」 と 「pdf.exe.manifest」 をユーザーの操作を介さずに 「%TEMP%」 パスに生成する。
「pdf.exe」 は VbsEdit のスクリプト実行ツールであり、「pdf.exe.manifest」 は 「%TEMP%」 パスに 「lpe.bat」 ファイルを生成する悪意のあるスクリプトである。
また、文書には 「履歴書_.pdf」 ファイルを開くよう誘導するハイパーリンクが含まれている。ユーザーがこのリンクをクリックすると、「%TEMP%」 パスに生成された 「pdf.exe」 が 「pdf.exe.manifest」 を実行し、後続の悪意のある動作が行われる。
なお、今回の事例で使用された VbsEdit のスクリプト実行ツール 「pdf.exe」 は、過去に当社の TI コンテンツで取り上げた企業のサーバーリスト文書を装った悪意のある LNK ファイルの拡散事例 (Kimsukyグループ) においても、同じ手法で悪用されていた。[図4]

[図2] 悪意のある HWP ファイル

[図3] 「%TEMP%」　パスに生成された悪意のあるファイル

[図4] 過去のマルウェア拡散事例における 「ms.exe」 および 「ms.exe.manifest」 ファイル

3. Funhouse ランサムウェアの感染チェーン

悪意のある HWP 文書が実行された後、Batch、VBS、PowerShell など、複数のスクリプトが順次実行される多段階の攻撃フローが確認された。この攻撃過程では Quasar RAT がインストールされ、攻撃者はこれを通じて最終的に Funhouse ランサムウェアを実行した。
攻撃チェーン全体の詳細については、当社の TI コンテンツ Endpoint から Funhouseへ：ランサムウェアファミリーの変遷と Kimsuky に関連する拡散事例で確認できる。

[表1] 全体の実行フロー

4. 過去の Kimsuky の事例との比較

4.1 Batch スクリプト

今回の事例で使用された Batch ファイルには、過去に公開した Python ベースのバックドアを拡散する悪意のある LNK ファイルと拡散手法の変化 (Kimsukyグループ)で確認された Batch ファイルと類似したコード上の特徴が見られた。この Batch ファイルは、攻撃者によって定期的に更新されるファイルであり、永続性を維持するための補助的な手段として利用されていた。

過去の攻撃事例の BAT ファイル	今回の攻撃事例の BAT ファイル

[図5] 類似した Batch ファイルのコード

4.2 Quasar RAT

最終的にランサムウェアを実行する Quasar RAT は、過去の Endpoint ランサムウェアの拡散事例で確認された Quasar RAT の亜種であることが判明した。
今回のサンプルは、過去の事例と同様に 「.dwg」 拡張子の設定ファイルを使用しており、この設定ファイルには C&C アドレス、感染対象を識別する値 (TAG)、ミューテックス名などの情報が保存されている。特に、ミューテックス名には過去の事例と同じ値が使用されていた。詳細な比較内容は [表2] のとおりである。

[表2] Quasar RAT の設定ファイルの比較

4.3 ランサムウェア：Endpoint から Funhouse へ

最終段階で実行される Funhouse ランサムウェアは、過去に公開された Endpoint ランサムウェアの亜種であることが確認された。
今回の Funhouse ランサムウェアは、6月に確認された Endpoint ランサムウェアと同じ暗号化後の拡張子、ランサムノートのファイル名、ミューテックス、鍵の生成方法および暗号化方式、暗号化フッターのサイズと識別マーカーなどを使用している。
ただし、攻撃者の連絡先は異なっていた。詳細な比較内容は [表3] および [図6] のとおりである。

[表3] ランサムウェアの比較

EndPoint ランサムウェアの事例 (2026年2月)	EndPoint ランサムウェアの事例(2026年6月)	funhouse ランサムウェアの事例 (2026年9月)

[図6] 各ランサムウェアのランサムノート生成コード

5. まとめ

今回の Funhouse ランサムウェアの拡散事例では、複数段階のスクリプトを経由して Quasar RAT からランサムウェアを実行するなど、2026年上半期から観測されている Kimsuky グループによる Endpoint ランサムウェアの拡散事例と類似した攻撃チェーンが確認された。
Quasar RAT と Funhouse ランサムウェアは、既存のファミリーの主要な特徴を維持しながらも、バージョン、C&C アドレス、識別情報、攻撃者の連絡先などを変更しており、攻撃インフラやツールを継続的に更新していることが確認された。

一方、最近の Kimsuky グループが主に使用してきた LNK ファイルに代わり、HWP 文書を初期の拡散手段として利用するという変化も確認された。これは、履歴書を装った見慣れた文書形式を利用してユーザーの警戒心を弱め、文書内のリンクをクリックするよう誘導することで攻撃の成功率を高めようとする試みと推測される。
実際に今回の事例では、ユーザーが文書内のリンクをクリックした後に後続の悪意のある動作が実行されるため、文書を閲覧する際には特に注意が必要である。

ユーザーは、履歴書などの業務関連文書に含まれるハイパーリンクの出所と信頼性を確認し、不審なリンクへのアクセスを控える必要がある。また、ハングルソフトをはじめとする各種ソフトウェアや OS に最新のセキュリティパッチを適用するとともに、V3 を最新バージョンに保ち、マルウェア感染を防ぐことが重要である。