The North Korea-affiliated threat actor known as Konni (aka Earth Imp, Opal Sleet, Osmium, TA406, and Vedalia) has been attributed to a new set of attacks targeting both Android and Windows devices for data theft and remote control. "Attackers impersonated psychological counselors and North Korean human rights activists, distributing malware disguised as stress-relief programs," the Genians

北朝鮮に関連する脅威アクターであるKonni（別名Earth Imp、Opal Sleet、Osmium、TA406、Vedalia）は、データ窃取とリモート制御を目的としたAndroidおよびWindowsデバイスを標的とする新たな攻撃に関与しているとされています。 「攻撃者は心理カウンセラーや北朝鮮人権活動家になりすまし、ストレス解消プログラムを装ったマルウェアを配布しました」とGenians Security Center（GSC）は技術レポートで述べています。 Androidデバイスを標的とした攻撃で注目すべき点は、攻撃者がGoogleの資産追跡サービスであるFind Hub（旧Find My Device）を悪用し、被害者のデバイスをリモートでリセットして個人データを不正に削除できる破壊的な能力を持っていることです。この活動は2025年9月初旬に検知されました。 この開発は、ハッキンググループが正規の管理機能を武器化してモバイルデバイスをリモートでリセットした初めての事例となります。また、攻撃者が標的にスピアフィッシングメールで接触し、コンピュータへのアクセスを獲得、ログイン済みのKakaoTalkチャットアプリのセッションを利用して、連絡先にZIPアーカイブ形式で悪意あるペイロードを配布する攻撃チェーンも確認されています。 スピアフィッシングメールは、国税庁などの正規組織を装い、受信者を騙して悪意ある添付ファイルを開かせ、Lilith RATのようなリモートアクセス型トロイの木馬を配布し、感染したマシンを遠隔操作・追加ペイロードの配信を可能にします。 Konni攻撃フロー 「脅威アクターは感染したコンピュータに1年以上潜伏し、ウェブカメラを通じて監視し、ユーザーが不在時にシステムを操作していました」とGSCは指摘しています。「この過程で、初期侵入時に得たアクセス権がシステム制御や追加情報収集を可能にし、回避戦術によって長期的な潜伏が実現されています。」 被害者のコンピュータに展開されたマルウェアは、内部偵察や監視、被害者のGoogleおよびNaverアカウント認証情報の窃取を可能にします。盗まれたGoogle認証情報は、GoogleのFind Hubへのログインおよびデバイスのリモートワイプの実行に利用されます。 あるケースでは、攻撃者がNaverに登録されたリカバリー用メールアカウントにサインインし、Googleからのセキュリティ警告メールを削除、受信トレイのゴミ箱も空にして悪質な活動の痕跡を隠蔽していることが判明しています。 メッセージアプリ経由で拡散されるZIPファイルには、Microsoft Installer（MSI）形式のマルウェア（「Stress Clear.msi」）が含まれており、中国企業に発行された有効な署名を悪用して正規アプリケーションを装っています。起動されると、バッチスクリプトを呼び出して初期セットアップを行い、続いてVisual Basic Script（VB Script）を実行して言語パックの互換性エラーを装った偽のエラーメッセージを表示しつつ、裏で悪意あるコマンドが実行されます。 これには、スケジュールタスクによって毎分実行されるよう設定されたAutoItスクリプトの起動も含まれており、外部サーバー（「116.202.99[.]218」）から受信した追加コマンドを実行します。このマルウェアはLilith RATといくつかの類似点を持ちますが、観測された違いからEndRAT（別名EndClient RAT）と命名されています。 サポートされているコマンド一覧は以下の通りです： shellStart：リモートシェルセッションの開始 shellStop：リモートシェルの停止 refresh：システム情報の送信 list：ドライブまたはルートディレクトリの一覧表示 goUp：1つ上のディレクトリへ移動 download：ファイルの窃取 upload：ファイルの受信 run：ホスト上でプログラムの実行 delete：ホスト上のファイル削除 Geniansによると、Konni APTアクターはAutoItスクリプトを利用してRemcos RATバージョン7.0.4も起動しており、これはBreaking Securityが2025年9月10日にリリースしたもので、攻撃者が新しいバージョンのトロイの木馬を積極的に利用していることを示しています。また、被害者デバイスではQuasar RATや、2023年にKimsukyが使用したRftRATも確認されています。 「これはマルウェアが韓国を中心とした作戦向けに特化されており、関連データの入手や詳細な分析には多大な労力が必要であることを示唆しています」と韓国のサイバーセキュリティ企業は述べています。 Lazarusグループの新しいComebacker亜種の詳細# この公開は、ENKIがLazarusグループがComebackerマルウェアの更新版を、航空宇宙・防衛組織を標的とした攻撃で使用していることを明らかにしたタイミングと重なります。これらの攻撃はスパイ活動キャンペーンに沿ったMicrosoft Word文書型の誘導を用いており、Airbus、Edge Group、インド工科大学カンプール校を装っています。 感染チェーンは、被害者がファイルを開いてマクロを有効化すると開始され、埋め込まれたVBAコードが実行されてユーザーにデコイドキュメントを表示し、Comebackerをメモリ上で起動するローダーコンポーネントも展開されます。 マルウェアは、HTTPS経由でコマンド＆コントロール（C2）サーバーと通信を確立し、新しいコマンドをポーリングしたり、暗号化されたペイロードをダウンロードして実行したりするループに入ります。 「攻撃者が非常に特定的な誘導文書を使用していることから、これは標的型スピアフィッシングキャンペーンであることが示唆されます」とENKIは技術レポートで述べています。「現時点で被害者の報告はありませんが、C2インフラは本記事公開時点で依然として稼働中です。」 Kimsukyが新しいJavaScriptドロッパーを使用# また、Kimsukyが最近の作戦で使用した新しいJavaScriptベースのマルウェアドロッパーが発見されており、攻撃者がマルウェア兵器を継続的に洗練させていることが示されています。JavaScriptマルウェアがどのように配布されるかの初期アクセス手法は現在不明です。 Kimsuky JavaScriptドロッパーフロー 攻撃の起点は初期のJavaScriptファイル（「themes.js」）で、攻撃者が制御するインフラに接続してさらなるJavaScriptコードを取得し、コマンドの実行やデータの窃取、3段階目のJavaScriptペイロードの取得が可能です。これにより、最初のJavaScriptファイルを毎分起動するスケジュールタスクの作成や、デコイとして空のWord文書を起動することができます。 「Word文書は空で、バックグラウンドでマクロも実行されないため、誘導用である可能性があります」とPulsedive Threat Researchは先週公開した分析で述べています。 翻訳元:

We bring you all the important info ahead of Bolton Wanderers' game against Port Vale, including interviews with Steven Schumacher and Eoin Toal.

It’s official! the TrendScape Data Protection 2025 report is live.   This is our first-ever TrendScape, and it marks an important milestone for us at Osmium Data Group.   Built on structured vendor br...

YouTube video by The Osmium Band

Taking the range and control of a multiband distortion, Osmium Distortion Matrix pairs it with a modular core.