北朝鮮のハッカー集団、韓国グループウェア企業に潜伏しGoogle Drive悪用の新種バックドアを展開

北朝鮮のハッカー集団「Kimsuky」が、韓国のエンタープライズソフトウェア企業に長期間潜伏し、その顧客組織へ侵入していたことが明らかになった。韓国のサイバーセキュリティ企業ENKI WhiteHatが2026年7月20日に公開した分析によると、攻撃者はGoogle DriveやHTTP/3を利用する、これまで知られていなかったLinuxバックドア「BirdTroy」と「DriveTroy」を使用していた。韓国製グループウェアを利用する組織は、ベンダー経由で侵害されている可能性を考慮し、認証ログの確認やネットワーク設定の見直しを急ぐ必要がある。

■韓国グループウェア企業を狙うサプライチェーン攻撃

北朝鮮のハッカー集団「Kimsuky」は、1年近くにわたり韓国のエンタープライズソフトウェア企業に潜伏していた。さらに、防御側に気付かれないまま、これまで知られていなかった2種類のLinuxバックドアを使用し、それらの企業の顧客ネットワークへ侵入した。これらのバックドアは、Google Driveや、従来型のネットワークセキュリティツールによる監視を困難にする目的で選ばれたプロトコルを介して、コマンドを送受信する。韓国のサイバーセキュリティ企業ENKI WhiteHatは2026年7月20日に詳細な技術分析を公開し、2つの新たなマルウェアファミリーを「BirdTroy」「DriveTroy」と命名したうえで、この攻撃キャンペーンを国家支援型グループKimsukyによるものと高い確度で判断している。

この攻撃キャンペーンは2025年11月に始まり、2026年初頭まで続き、少なくとも2社の韓国のコラボレーションソフトウェア（グループウェア）ベンダーを標的とした。プロジェクト管理、電子メール、文書共有、社内コミュニケーションなどの機能を持つ韓国製グループウェアプラットフォームを利用する組織では、ベンダー側の侵害が、顧客側で何らかの操作をしなくても顧客環境へのアクセスにつながっていた。

■Kimsukyの侵入経路：2つの異なる手口

攻撃者は、単一の侵入経路を使用していたわけではない。2025年11月に確認された最初のケースでは、Kimsukyは外部からアクセス可能なメールサーバーのリモートコード実行（RCE）脆弱性を悪用し、バックドア「Gomir」をインストールした。2025年12月に確認された2つ目のケースでは、別のグループウェア開発企業の従業員にソーシャルエンジニアリングを仕掛け、その従業員のPCにリモートアクセスツールを導入した。

両社のネットワークに侵入すると、攻撃者は迅速に行動した。最初のベンダーでは、同社のSaaSインフラの構成情報を探し出した。具体的には、顧客環境のディレクトリ一覧とアクセス認証情報を保管していたVOC（Voice of Customer）サーバーを特定し、その情報を使って少なくとも1社の顧客のサーバーにGomirをインストールした。2つ目のベンダーでは、攻撃者のGoogle Driveアカウントを監視していたENKIの研究者が、DriveTroyが最初にインストールされた翌日、2社目の顧客のサーバーが攻撃者側のログに現れたことを確認した。その数日後、攻撃者は同じ足掛かりを利用して、3社目の組織のグループウェア上の電子メールを不正に閲覧した。

従業員のパスワードはサーバー上にハッシュ値として保存されており、そのままでは入手できないため、Kimsukyはグループウェアのログインページ自体を改ざんした。従業員がログインするたびに、平文のユーザー名とパスワードを傍受し、HTTPS経由で攻撃者の管理するサーバーへ送信するよう変更したのである。侵害されたベンダーは、グループウェアのポータルに多要素認証（MFA）を導入していなかった。このため、攻撃者は収集した認証情報を使い、追加の認証を求められることなく直ちにアクセスできた。

■Kimsukyの新たなLinux向けバックドア「BirdTroy」と「DriveTroy」

ENKIのレポートで特に重要な技術的発見は、これまで文書化されていなかったGo言語ベースの2つのLinuxバックドア、BirdTroyとDriveTroyが特定されたことである。両者はGomirの亜種である。Gomirは、KimsukyのWindows向けリモートアクセス型トロイの木馬「GoBear」のLinux版として、2024年5月にSymantecが初めて報告した。3つのマルウェアファミリーは、同一の永続化ロジック、同じボットIDの生成方法、酷似したコマンド構造を共有している。永続化には、マルウェアがroot権限で実行されているかどうかに応じてsystemdサービスまたはcrontabが使用される。こうした共通点は、3つのマルウェアを同じ開発チームが作成したことを示す証拠となっている。

BirdTroyが前身のGomirと異なるのは、Gomirにはない通信方式を備えている点である。攻撃者は「-method http3」フラグを付けてBirdTroyを起動できる。これにより、コマンド＆コントロール（C2）通信は、TCP上の標準的なHTTPSから、TCPではなくUDPを使用するQUIC上のHTTP/3へ切り替わる。

DriveTroyには、独自のC2サーバーが存在しない。代わりに、攻撃者が管理するGoogle Driveアカウント内に置かれた、被害者固有の識別子を名前に持つファイルを毎秒確認し、新たなコマンドを取得する。実行結果は、同じGoogle Drive内にある別のファイルへアップロードされる。この通信には、マルウェアのバイナリにハードコードされたOAuth認証情報が使用される。攻撃者のGoogleアカウント「vcenter.secmail@gmail.com」はすでに公表されているため、GoogleのセキュリティチームがOAuth認証情報を無効化すれば、展開済みのDriveTroyが使用するC2チャネルを遮断できる。

ENKIの研究者は、新しいマルウェアに、開発手法が変化している兆候も確認した。具体的には、AIの支援によって書かれた可能性があるコードコメントや、C2インフラとして韓国の無料ホスティングドメインを引き続き利用している点などを挙げている。

■HTTP/3とQUICがBirdTroyの検知を困難にする理由

これは、ネットワークセキュリティツールを運用する防御側にとってENKIのレポートで特に重要な部分であり、要約だけでは見過ごされやすい点でもある。

ファイアウォール、侵入検知・防御システム（IDS・IPS）、データ損失防止（DLP）ツール、クラウド型セキュアウェブゲートウェイなど、企業向けネットワークセキュリティ機器の多くは、TCPトラフィックを検査するよう設計されている。一方、HTTP/3の基盤となるQUICは、UDPポート443を使用する。QUICはTLS暗号化をトランスポート層に直接組み込んでおり、ミドルボックスによる検査を受けにくいよう設計されている。このため、BirdTroyがHTTP/3モードを使用すると、従来のTCPベースのネットワーク監視ツールでは事実上、通信内容を把握できなくなる。

QUICを許可するネットワークでは、BirdTroyの通信は通常のQUICウェブトラフィックと区別できない。また、シグネチャベースの検知で捉えられるような不正なヘッダーや異常なパターンも含まれていない。

対策は単純だが、一定の影響を伴う。ネットワーク境界でUDPポート443を遮断する方法である。ChromeやEdgeなどのブラウザは、主要なプラットフォームへの接続に標準でQUICを使用するため、UDPポート443を遮断すると、正規のブラウザ通信がHTTP/2へフォールバックする可能性がある。ただし、ENKIは、多くの組織にとってこれは許容できるとしている。

UDPポート443を遮断できないネットワークでは、従来型のTCPプロキシではなく、QUICに対応したネットワーク検査機能が必要になる。Kimsukyの新たなバックドア亜種を標準的なネットワーク監視だけで検知しようとしている環境では、攻撃者がHTTP/3を選択すると、BirdTroyのC2トラフィックが継続的に検査の死角に入る可能性がある。

■DriveTroyのGoogle Driveトンネル：防御側と攻撃側が同じドメインを使う

DriveTroyの仕組みは、ネットワーク層での検知をさらに難しくする。そのC2通信は、正規のOAuthトークンを使用してGoogleのインフラへ接続し、TLSで暗号化されたGoogle Drive API通信である。ネットワーク防御側は、DriveTroyによるコマンドの確認と、従業員が業務でGoogle Driveにアクセスする通常の通信を区別できない。

この手法自体は新しいものではない。APT41は2023年、Google Sheets APIをC2通信に悪用する「GC2-Sheet」というレッドチーム向けツールを使用した。2026年2月には、GoogleのThreat Intelligence Groupが、別のサイバースパイ集団が42カ国の53の被害者を対象に、Google SheetsをC2通信に使用した攻撃キャンペーンを公表している。

DriveTroyは、すでに利用例が報告され、広がりつつあるこの運用上の秘匿手法を、Kimsukyも採用したことを示している。Linux上で動作するGo言語ベースの実装であり、グループウェア企業が運用するサーバーインフラを明確に標的としている。

構造上の弱点は、DriveTroyのOAuth認証情報がバイナリにハードコードされており、その内容がすでに公表されていることである。バイナリを入手すれば、クライアントID、クライアントシークレット、リフレッシュトークンを抽出でき、Googleはそれらを無効化できる。ENKIによる情報公開は、展開済みのDriveTroyに対する事実上の停止手段を防御側へ提供したことになる。これらの認証情報がGoogleのセキュリティチームに報告され、無効化されれば、感染したサーバーはC2チャネルを失う。

■帰属：共通するコード、インフラ、韓国語キーボード

ENKIが一連の攻撃をKimsukyによるものと判断した根拠は、個別に確認された複数の指標が重なっていることにある。

Gomir、BirdTroy、DriveTroyの3つのバックドアは、いずれも同じHTTPS証明書を共有している。これは「Apache Friends / localhost」というサブジェクトで発行されたXAMPPのデフォルト証明書で、過去の複数のKimsukyによる攻撃でも確認されている。

今回の攻撃に使われたC2サーバーのIPアドレスは、ASN 19318およびASN 26666に属している。どちらも過去にKimsukyのインフラと関連付けられていた。

DriveTroyに埋め込まれたWindowsのビルドパス「C:/Users/jira/go/src/jira/payload/」には、「jira」というユーザー名が含まれている。このユーザー名は、2026年5月にENKIが公開したKimsukyのマルウェア「HttpSpy」に関する分析でも確認されている。

また、2つ目のベンダーでは、侵害したWindowsワークステーションへの対話型アクセスを維持するためにDWAgentが導入されていた。DWAgentは正規のリモートデスクトップツールだが、Kasperskyが分析したKimsukyのPebbleDashクラスターでも使用が報告されている。

さらに、2つ目のベンダーから回収されたプロキシツールは、「dkanehahffk」という認証キーを使用していた。これは、韓国語の「아무도몰라（誰も知らない）」を、キーボードの入力言語が英語に設定されたまま打ち込んだ文字列である。ENKIはこれを、韓国語を使う環境で開発されたことを裏付ける小さな痕跡としている。

■Kimsukyの正体とグループウェアベンダーが標的となる理由

APT43、Emerald Sleet、Velvet Chollimaの名称でも追跡されているKimsukyは、少なくとも2012年から、北朝鮮の主要な対外情報機関である偵察総局の傘下で活動している。

北朝鮮が兵器計画の資金調達を目的に暗号資産を盗むために利用するとされるLazarus Groupとは異なり、Kimsukyの任務は情報収集である。地政学、軍事、外交政策に関する情報を集め、平壌の意思決定を支援することを目的としている。

米国財務省は2023年11月、北朝鮮の戦略的目標や核開発の野望を直接支援するサイバースパイ活動を理由に、Kimsukyを制裁対象に指定した。この措置は、米国がオーストラリア、日本、韓国と連携して実施した。

同グループの約10年間にわたる活動の分析によると、韓国は引き続きKimsukyの主要な標的であり、記録された作戦の約60％を占める。次いで、米国、日本、欧州が標的となっている。

企業向けグループウェアは、情報収集を目的とする組織にとって合理的な標的である。グループウェアには、数千人規模の従業員による社内コミュニケーション、共有文書、組織のディレクトリ構造などが保存されている。

個々の顧客組織を直接攻撃するのではなくベンダーを侵害すれば、Kimsukyは、顧客が警戒していなかった信頼関係を通じて、数百に及ぶ可能性がある顧客ネットワークへの足掛かりを一度に得られる。

ENKIのレポートは、今回の攻撃がKimsukyの作戦手法の意図的な変化を示すと指摘している。個々の標的に対する直接的なスピアフィッシングよりも、パートナーやサプライヤーを経由した間接攻撃を重視するようになっているという。

■組織が今取るべき対策

ENKIは詳細なレポートとともに、BirdTroy、DriveTroy、Gomirの3つのマルウェアファミリーに対応するYARA検知ルールを公開した。加えて、MD5ファイルハッシュや、IPアドレス、「.o-r.kr」ドメインのパターンなどを含むC2関連の侵害指標も提供している。韓国製のコラボレーションソフトウェアを使用する組織は、次の対策を講じる必要がある。

認証ログを調査し、特にグループウェアのログインポータルで不審なログインが発生していないか確認する。ログインページの改ざんによって盗まれた認証情報は、正常な認証手順で使用された可能性がある。このため、認証失敗の記録ではなく、通常とは異なる時間帯のログインや、見慣れない送信元IPアドレスなどの行動上の異常を手掛かりに検知する必要がある。

公開されたYARAルールとMD5ハッシュを使用し、Linuxサーバー上でGomirファミリーの痕跡を探す。Gomirは「rsyslogd」という名称のsystemdサービス、またはcrontabのエントリとして永続化する。BirdTroyも同じ永続化名を使用する。DriveTroyは、サービス名を「syslogd」「logd」「cachelogd」「cachemond」「monlogd」の中からランダムに選ぶ。

可能であれば、ネットワーク境界でUDPポート443を遮断する。遮断できない場合は、QUIC対応のネットワーク検査機能を導入する。これはBirdTroyのHTTP/3通信に対する主要な緩和策であり、ネットワーク検査に継続的な死角が生じることを防ぐ。

Google Drive APIへの外向き通信に、不審なパターンがないか監視する。DriveTroyはGoogle Driveを毎秒確認するため、宛先ドメイン自体は正規のものであっても、そのリクエスト頻度がネットワークフローログ上の異常として現れる可能性がある。

IT部門が許可していないDWAgentが導入されていないか確認する。DWAgent自体は正規のリモート管理ツールだが、管理対象として記録されていないインスタンスは、Kimsukyが侵入の足掛かりを確保している可能性を示す。

外部からアクセス可能なメールサーバーには、提供されているパッチを速やかに適用する。今回侵害されたベンダーの少なくとも1社では、外部公開されたメールサーバーのリモートコード実行脆弱性が最初の侵入経路となった。

グループウェアのポータルに多要素認証を導入する。認証情報を盗み出す攻撃が成功した理由の一つは、ログインポータルがMFAに対応していなかったことにある。MFAが導入されていれば、盗まれたユーザー名とパスワードだけで不正ログインすることはできない。

■注目ポイントQ&A

●Kimsukyとは何ですか？なぜ韓国のソフトウェア企業を標的にしているのですか？

KimsukyはAPT43とも呼ばれる、北朝鮮の国家支援型サイバースパイ集団です。少なくとも2012年から、北朝鮮の偵察総局の傘下で活動しています。その主な任務は金銭の窃取ではなく、地政学、軍事、外交政策に関する情報の収集です。韓国のグループウェアベンダーが標的となるのは、そのプラットフォームに多数の企業や政府機関の社内コミュニケーション、文書、ディレクトリ情報が保存されているためです。ベンダーを一度侵害すれば、Kimsukyは、顧客が悪用を想定していなかった信頼関係を通じて、多数の顧客組織へ同時にアクセスできる可能性があります。

●DriveTroyはどのようにGoogle DriveをC2通信に使用しますか？阻止することは可能ですか？

DriveTroyは、ハードコードされたGoogle OAuth認証情報をバイナリに埋め込んでいます。この認証情報はENKIによって公表されています。インストール後は、攻撃者が管理するGoogle Driveアカウント内で、被害者固有の識別子を名前に持つファイルを毎秒確認します。新たなコマンドがあればダウンロードして実行し、その結果を同じGoogle Drive内の別のファイルへアップロードします。通信には正規のGoogle APIが使われ、TLSで暗号化されたうえでGoogleのインフラに接続するため、ネットワーク上では従業員による通常のGoogle Drive利用と区別できません。公表された認証情報をGoogleのセキュリティチームに報告すれば、Googleが認証情報を無効化し、展開済みのDriveTroyをC2チャネルから切断できる可能性があります。

●BirdTroyのHTTP/3・QUIC通信が防御側にとって重要なのはなぜですか？

ファイアウォール、侵入検知システム、クラウド型セキュアウェブゲートウェイなど、多くの企業向けネットワークセキュリティツールは、TCPベースのトラフィックを検査するよう設計されています。HTTP/3は、TCPではなくUDPを使用するQUIC上で動作し、トランスポート層にTLS暗号化を組み込んでいます。このため、攻撃者がHTTP/3モードを選択すると、従来のTCPベースのネットワーク監視ではBirdTroyのC2通信を検査できない可能性があります。主な緩和策は、ネットワーク境界でUDPポート443を遮断するか、QUICトラフィックの分析に対応したネットワーク検査ツールを導入することです。

●影響を受けたベンダーの顧客にとって、サプライチェーン攻撃は何を意味しますか？

サプライチェーン攻撃では、攻撃者は標的となる組織を直接攻撃するのではなく、ソフトウェアベンダーやサービスプロバイダーを侵害します。ベンダーのネットワークへ侵入した後、保存されている構成データやアクセス認証情報、ベンダー自身の管理ツールなどを利用し、ベンダーと顧客の間の信頼関係を通じて顧客環境へアクセスします。顧客側が何も操作していなくても、また顧客のセキュリティチームが明確な侵害指標を確認できなくても、被害を受ける可能性があります。対策には、ベンダーの自己申告だけに依存しないセキュリティ評価と、顧客自身の通常の活動では説明できない行動上の異常を顧客システム内で監視することが必要です。

元記事: North Korea Hid New Google Drive Backdoors Inside South Korean Groupware Firms