北朝鮮系 Konni の最新スピアフィッシング・キャンペーン：AI 支援 PowerShell バックドアで日本も標的

Konni Hackers Deploy AI-Generated PowerShell Backdoor Against Blockchain Developers

2026/01/26 TheHackerNews — Konni として知られる北朝鮮系脅威アクターが、人工知能 (AI) ツールにより生成された PowerShell マルウェアを使用し、ブロックチェーン分野の開発者／エンジニア／開発チームを標的としていることが確認された。先週、Check Point Research が公開した技術レポートによると、このフィッシング・キャンペーンが標的とするのは日本／オーストラリア／インドであり、これまでの主要な標的であった韓国／ロシア／ウクライナ／欧州諸国を超えて、攻撃対象範囲を拡大していることが示されている。

遅くとも 2014年から活動している Konni は、主に韓国の組織／個人を標的とすることで知られており、Earth Imp／Opal Sleet／Osmium／TA406／Vedalia としても追跡されている。

2025年11月にGenians Security Center (GSC) が公表したのは、Google の資産追跡サービス Find Hub を悪用し、被害者の Android デバイスをリモートで初期化して個人データを消去する手口の詳細であるが、今回の攻撃手法は新たなエスカレーションを示している。

さらに、2026年1月の Konni は、Google／Naver の広告プラットフォームに関連付けられた、無害な広告 URL を装う悪意のリンクを取り込んだスピアフィッシング・メールを配布している。この攻撃により、セキュリティ・フィルタを回避して EndRAT と呼ばれる RAT が配信されている。

このキャンペーンは GSC により Operation Poseidon と命名されており、北朝鮮の人権団体や韓国の金融機関を装いながら実施されている点が特徴である。また、マルウェア配布および Command-and-Control (C2) インフラとして、セキュリティ対策が不十分な WordPress Web サイトが使用されている。

一連の悪意の電子メールは、取引確認や送金依頼といった金融通知を装い、受信者を欺いて WordPress サイト上にホストされた ZIP アーカイブをダウンロードさせる構成である。その ZIP ファイルには、PDF 文書を装いながら AutoIt スクリプトを実行する、Windows ショートカット (LNK) が含まれている。この AutoIt スクリプトが、Konni の既知マルウェアである EndRAT (別名 EndClient RAT) である。

韓国のセキュリティ企業は、「この攻撃は、Google 広告エコシステム内で使用される広告クリック・リダイレクト機構を悪用する、スピアフィッシング・ベクターに分類される。それより、電子メール・セキュリティ・フィルタおよびユーザーの警戒心が、効果的に回避されるインシデントを引き起こしている」と述べている。

同社は、「この攻撃者は、正規の広告クリック追跡に使用されるドメイン “ad.doubleclick[.]net” のリダイレクト URL 構造を利用し、段階的にユーザーを外部インフラへと誘導し、実際の悪意のファイルがホストされている場所へ到達させていた」と分析している。

Check Point が記録した最新のキャンペーンでは、プロジェクト要件文書を模倣した ZIP ファイルが Discord のコンテンツ配信ネットワーク (CDN) 上にホストされていた。それにより、以下の多段階攻撃チェーンが実行されていたが、攻撃に用いられた正確な初期侵入ベクターは不明である。

1. ZIP アーカイブには、PDF のデコイ／LNK ファイルが含まれている。
2. ショートカット・ファイルは、埋め込まれた PowerShell ローダーを起動し、Microsoft Word の誘引文書／CAB アーカイブの 2 つの追加ファイルを展開し、注意逸らしのために Word 文書を表示する。
3. 続いてショートカット・ファイルは、CAB アーカイブの内容を展開する。このアーカイブには PowerShell バックドア／2 つのバッチ・スクリプト／User Account Control (UAC) バイパスに使用される実行ファイルが含まれている。
4. 最初のバッチ・スクリプトは、環境準備／スケジュール・タスクによる永続化確立／バックドアの配置および実行を行った後に、フォレンジック調査における可視性を低下させる目的で自身をディスクから削除する。
5. PowerShell バックドアは、複数の解析回避／サンドボックス回避チェックを実行した後にシステム・プロファイリングを行い、FodHelper UAC バイパス手法を用いて権限昇格を試みる。
6. このバックドアは、以前に配置された UAC バイパス用実行ファイルを削除し、Microsoft Defender に対して “C:\ProgramData” を除外設定した上で、2 つ目のバッチ・スクリプトを実行し、既存のスケジュール・タスクを昇格権限させ、実行可能な新しいタスクに置き換える。
7. その後にバックドアは、永続的なリモート・アクセスを目的として、正規の Remote Monitoring and Management (RMM) ツールである SimpleHelp を配置し、非ブラウザ通信を遮断する暗号化ゲートで保護された C2 サーバと通信し、ホスト・メタデータの定期送信／サーバから返される PowerShell コードの実行を行う。

Check Point の指摘は、PowerShell バックドアが AI ツールの支援を受けて作成された可能性が高いという点である。その根拠として。モジュール化された構造／人間が読みやすいドキュメント／ # <– your permanent project UUID> といったソースコード・コメントの存在を挙げている。

Check Point は、「個々のエンド・ユーザーを狙うのではなく、このキャンペーンの目的は開発環境に足場を築き、複数のプロジェクトやサービスに対する広範な下流アクセスを得る点にあるよう。AI 支援ツールの導入は、実証済みの配信手法／ソーシャル・エンジニアリングに依存し続けながら開発を加速し、コードを標準化しようとする試みを示している」と説明している。

遠隔操作およびデータ窃取を目的とする、北朝鮮主導と評価される複数のキャンペーンが相次いで発見されている状況と、これらの調査結果は時期的に一致している。

たとえば、Hangul Word Processor (HWPX) 文書や政府関連テーマのデコイ・ファイルを模倣する、JavaScript Encoded (JSE) スクリプトを用いるスピアフィッシング・キャンペーンが確認されているが、Visual Studio Code (VS Code) トンネルを展開することでリモート・アクセスを確立する構成となっている。また、PDF 文書を装いながら LNK ファイルを配布するフィッシング・キャンペーンでは、仮想環境およびマルウェア解析環境を検出するための PowerShell スクリプトを起動し、MoonPeak と呼ばれるRAT を配信している。

さらに、2025 年に Andariel により実施されたと評価される 2 件のサイバー攻撃では、欧州の法務分野に属する未公開組織を標的として TigerRAT が配信されていた。その他にも、韓国の Enterprise Resource Planning (ERP) ソフトウェア・ベンダーの更新機構を侵害し、StarshellRAT／JelusRAT／GopherRAT を含む 3 種類の新たな RAT を下流の被害者に配布した。

フィンランドのサイバーセキュリティ企業 WithSecure によると、この ERP ベンダーのソフトウェアは 2017年／2024年にも同様のサプライチェーン侵害の標的となり、HotCroissant／Xctdoor といったマルウェア・ファミリーが配布されていた。

JelusRAT は C++ で記述され、C2 サーバからプラグインを取得する機能を備えている。その一方で、StarshellRAT は C# で開発され、コマンド実行／ファイルのアップロード／ダウンロード／スクリーンショット取得をサポートするものだ。GopherRAT は Golang を基盤とし、コマンド／バイナリの実行／ファイル流出／ファイル・システム列挙の機能を備えている。

WithSecure の研究者 Mohammad Kazem Hassan Nejad は、「同グループの標的／目的は時間とともに変化しており、金銭的利益を追求するキャンペーンもあれば、諜報ニーズに合致する情報窃取に焦点を当てたものもある。この多様性は、優先事項の変化に応じて、より広範な戦略目標を支援できる柔軟性を、同グループが有していることを示している」と述べている。

北朝鮮の脅威アクター Konni が、AI を活用して作成した巧妙なマルウェアを用い、日本を含むブロックチェーン開発者を標的にとする攻撃を展開しています。この攻撃の背景にあるのは、標準化されたコードやドキュメントを備えたマルウェアが、AI ツールを悪用することで短期間で大量に生成され、従来のセキュリティ検知を巧妙に回避していくという、いまの実態です。

今回の攻撃は、Google 広告の正規のリダイレクト機能を悪用してユーザーを欺き、Discord のネットワーク上にホストされた悪意の ZIP ファイルをダウンロードさせるところから始まります。攻撃チェーンは多段階で構成されており、注意をそらすための偽の Word 文書の表示や、Windows の権限昇格 (UAC バイパス) などの高度なテクニックが組み合わされています。最終的には、正規の遠隔管理ツール (SimpleHelp) を密かにインストールすることで、攻撃者が永続的に開発環境へアクセスできる状態を作り出します。

セキュリティ研究者の分析によると、今回の PowerShell バックドアには AI ツール特有の署名やコメントが含まれており、AI を導入する攻撃者が開発速度を加速させている状況が示唆されています。