韓国関連グループの標的型攻撃が継続 - GitHub悪用でマルウェア展開

仮想ディスク内部には細工された「LNKファイル」が保存されており、クリックすると正規のGit実行ファイル「gcmd.exe」を介してスクリプトが実行されるしくみだったという。

同スクリプトでは、攻撃を隠蔽するために研究者を装った履歴書を表示。背後ではファイルを作成、実行し、レジストリへの登録によって侵害を永続化するとともに、追加モジュールとなるダウンローダーを取得する。

さらにダウンローダによってマルウェア「SpyGlace」が取得、実行されていた。「SpyGlace」についても、あらたなバージョンが複数確認され、コマンドが追加されていた。

ペイロードの配布に「GitHub」が悪用されていたほか、引き続き攻撃には正規サービスを利用している。感染端末の識別には、アクセス統計サービス「StatCounter」を悪用していた。

コマンド＆コントロールサーバと暗号通信も行っており、初期通信時における識別子には2024年の攻撃と同一の文字列も確認されている。

JPCERT/CCでは、通信先やファイル名、ハッシュ値、GitHubのコミットが行われたメールアドレス、被害端末情報といった「IoC（Indicators of Compromise）」を公開。今後も同様の手口による攻撃が続くおそれがあるとして警戒を呼びかけている。

（Security NEXT - 2025/10/28 ）ツイート