AIの進化に伴い、新たなセキュリティリスクが増加し、一層の防御力が求められている。防御を強化する上で重要となるのが、脅威アクターの情報だ。彼らの攻撃手法を理解することで、効果的な対策を講じることが可能になる。本連載では、フォーティネットの「Threat Actor Encyclopedia」から注目すべき脅威アクターを紹介する。今回は、北朝鮮のAPT「Kimsuky」を取り上げる。
Kimsukyの概要と主な活動
Kimsukyは、少なくとも2012年からサイバースパイ活動に関与している北朝鮮の国家支援型APTグループである。主な標的は、韓国の政府機関、シンクタンク、軍事組織、原子力関連機関、防衛産業組織で、活動範囲は米国、ロシア、欧州、国連にも拡大している。
注目すべき活動として、2014年のKorea Hydro & Nuclear Power Co.（韓国水力原子力発電）の侵害、2018年のOperation Stolen Pencil、2019年のOperation Kabar Cobra、2019年のOperation Smoke Screenが挙げられる。
感染経路と攻撃の仕組み
Kimsukyは、スピアフィッシングキャンペーンなど多様な手口を用いる。これらのキャンペーンでは、悪意ある文書やLNK/HTA/HWP/CHMファイルを標的に送付する。フィッシングは、被害者が信頼する正規の通信や情報源を模倣するよう慎重に設計されており、開封される可能性を高めている。
また、標的候補に関する情報収集を目的としたフィッシング作戦を実行する能力も備えており、その一環として、標的候補の認証情報を収集するためにGoogle、Outlook、Navarなどの著名Webサイトを模倣することがある。
サイバー活動では、独自開発のマルウェアに加え、市販のマルウェア、RAT、情報窃取ツールも利用している。代表的なツールにはBabySharkとAppleSeedがあり、いずれも多機能なRATである。
Kimsukyは、成熟度の高いインフラストラクチャと運用手法を有し、複数のサーバーからなるネットワークを利用して活動を隠蔽し、匿名性を維持している。また、WindowsとAndroidの両プラットフォームに対してマルウェアを展開できる高い能力を持つ。
日本への影響と注意点
北朝鮮の偵察総局傘下に属していると言われるKimsukyは、同じく北朝鮮を拠点とするLazarusと同様に、10年以上にわたって活動を続けている息の長い脅威アクターである。
破壊的攻撃や大規模な金銭搾取をいとわないLazarusとは対照的に、Kimsukyは北朝鮮政府の外交・安全保障策を支援する情報収集に特化してきたのが最大の特徴だ。その目的の特性上、隠密活動が求められ、OSの標準機能や正規ツールを悪用して侵入後の痕跡を隠蔽する「環境寄生型攻撃（Living-off-the-Land）」を積極的に活用しており、防御側の検知を困難にしている。
かつてはスピアフィッシングや脆弱性の悪用が攻撃の主流であり、日本国内でも安全保障や外交関係の組織を装ったメール攻撃が確認されている。近年では、QRコードを悪用して検知を回避する「Quishing（クイッシング）」や、ユーザーに悪意のあるコマンドを自ら実行させる「ClickFix（クリックフィックス）」といった高度なソーシャルエンジニアリング手法を導入しており、手口は絶えず進化している。
こうした手口の巧妙化の背景には、国際社会による継続的な経済制裁の影響もあり、自組織の活動資金を確保するため暗号資産を狙った金銭目的の攻撃も主目的に組み込まれるようになった。
このように、攻撃の動機を「情報の搾取」から「外貨獲得」へと広げつつ、新たな攻撃手法を取り入れるKimsukyは、日本のデジタル主権と安全保障にとって深刻な脅威となっている。
