KCSCON 2026で北朝鮮ハッカー集団の持続的侵入戦略が分析

2026年9月8日、韓国最大のサイバーセキュリティ会議KCSCON 2026がソウルで開催された。エンキホワイトハットの研究員が、北朝鮮のハッカー集団キムスキの最新攻撃手法について発表した。キムスキは2014年に名付けられ、韓国の軍や政府機関を標的として情報窃取を続けてきた組織である。

発表では、同集団が標的型フィッシングメールを用いて初期侵入を行い、その後、システム内で長期的なアクセス権を維持する戦略に重点を移していることが示された。攻撃者は、通常の業務メールを装い、被害者が返信した後に悪意のあるショートカットファイルを添付して実行を誘導する。また、正規のセキュリティソフトのダウンロードサイトを模倣し、悪意のあるプログラムのインストールを促す手口も確認された。

さらに、ビデオ会議サービスを利用した攻撃も登場した。偽の接続ページでカメラエラーを表示し、修正スクリプトのダウンロードを装って悪意のあるコードを実行させる。実行後には正規の会議画面に戻り、被害者が感染に気づきにくくする。侵入後、攻撃者はWindowsのタスクスケジューラやレジストリを悪用し、再起動後も自動的に動作するよう設定する。また、Chrome Remote DesktopやAnyDeskといった正規のリモートアクセスツールを悪用し、タスクバーやシステムトレイからの表示を隠蔽して検知を逃れる手法も用いている。

リモートデスクトッププロトコル（RDP）の利用のために、隠された管理者アカウントを作成し、ファイアウォールで3389番ポートを許可する設定も確認された。ブラウザ拡張機能を通じてGmailの情報を窃取する事例も報告され、そのコードには生成AIを用いた痕跡が見られた。攻撃者はGitHubやGitLabなどの正規のコードホスティングサービスに悪意のあるスクリプトをアップロードし、攻撃に利用している。対象国は韓国だけでなく、日本やウクライナにも広がっている。