北朝鮮のAPT37、新たなフィッシング攻撃にRokRATを導入　研究グループ関係者などを標的に

nosa

2025.10.17

9月2日：サイバーセキュリティ関連ニュース

北朝鮮のAPT37、新たなフィッシング攻撃にRokRATを導入　研究グループ関係者などを標的に

Security Affairs – September 01, 2025

サイバーセキュリティ企業Seqrite Labsにより、北朝鮮と関連のあるグループAPT37（別名Ricochet Chollima、ScarCruft、Reaper、Group123）のフィッシング攻撃キャンペーン「Operation HanKook Phantom」が発見された。

標的は韓国の国家情報研究会（National Intelligence Research Society）に所属する学者や元政府関係者、研究者で、データ窃取・永続化・スパイ活動を目的としているようだ。攻撃では「国家情報研究会ニュースレター第52号（National Intelligence Research Society Newsletter – Issue 52）」と題した偽PDFに加え、偽装された有害なLNKファイルが使われているという。

Seqrite Labsのレポートによると、このLNKファイルが実行されるとペイロードのダウンロード、あるいはコマンドが実行され、標的のシステムを侵害。最終段階で使用されるマルウェアがRokRATで、これはAPT37が作成したものだと考えられている。

また、このマルウェアはスクリーンショットをキャプチャするだけでなく、リモート実行やデータ窃取、マルウェア制御のためのコマンドをサポートしているとのこと。そのほかにも有害なコードがDropbox・pCloud・Yandexを介してC2サーバーと通信し、データの持ち出しとさらなるペイロードの展開を行うと説明された。

今回の分析では、APT37が有害なLNKローダー、PowerShellのファイルレス実行、秘密裏に情報窃取を行うメカニズムを活用し、高度にカスタマイズされたスピアフィッシング攻撃を継続的に実行していることが浮き彫りになったと結論付けられている。

APT37は遅くとも2012年から活動しており、主に韓国の政府機関、防衛機関、軍事機関、メディア機関を攻撃。2018年2月初旬にはAdobe Flash Playerのゼロデイ脆弱性を悪用し、韓国のユーザーにマルウェアを配布した攻撃で注目を集めている。

政府ドメインへのトラフィック、その大半は国を跨ぐかリスキーな「激せま」経路を利用していることが明らかに

The Register – Mon 1 Sep 2025

ある研究で58か国の政府系Webサイトへのインターネットトラフィックをマッピングした結果、政府ドメインへの流入経路は国境を越えていることが多い上、ネットワーク接続数が極めて少ない、あるいは暗号化されていないケースが多いことが判明したという。

この研究を行ったのは博士課程の学生Rashna Kumar氏で、政府系Webサイトやサービスに向けられた多くのデータが国外から流入しているか、海外のインターネットエクスチェンジポイント（IXP）を利用していることを突き止めた。マレーシア、ノルウェー、南アフリカ、タイといった国では、トラフィックの23～43％が第三国の管轄区域にあるIXPを経由していたと報告されている。

さらにKumar氏は、ニュージーランド政府系サイトに向かうデータの多くがオーストラリアを通過していると指摘。また発展途上国においては政府ドメインへのトラフィックを国外のインフラ経由でルーティングする傾向がより高まり、HTTPSを使ってトラフィックが保護されていない割合が増えることも明らかにした。

そのほか、カナダやスウェーデン、スイス、英国、米国は技術的障害や地政学的ショックに対する耐性が高いものの、アルバニアはHTTPS使用率の低さが、カザフスタンやバングラデシュ、パキスタン、トルコなどは単一の通信事業者への依存度の高さが問題視され、アフリカ諸国については技術的な問題から測定が難しいと記された。

58か国の詳細なデータを示すインタラクティブマップはこちらから確認できる。