日本も狙う「APT10」にあらたな動き - 一見問題ない実行ファイルから攻撃展開

攻撃グループは、ダウンローダとして4種類のファイルを展開。実行ファイルは一見問題ないように見えるが、同梱される悪意あるライブラリファイルを読み込むいわゆる「DLLサイドローディング」によって、攻撃を実行していた。

また同じく同梱されていたバイナリファイルは暗号化されており、メモリ上に展開されたあと、「PlugX」や「RedLeaves」と類似した方法で復号化が行われていたという。

また一連の攻撃では、韓国のIPアドレスをコマンド＆コントロール（C＆C）サーバの通信先としており、正規企業に関連あるかのように見せかけた「kaspresksy[.]com」「microsofts[.]org」といったドメインを悪用。攻撃で確認されたzipファイルからは、「APT10」が使用することで知られる「Poison Ivy」も見つかっている。