韓国を標的とする5つの脅威グループを
公開情報から整理しました
MITRE ATT&CKのグループページ、各国政府の勧告、セキュリティベンダーのレポートに記載された内容だけを集めました。
グループごとに、よく使う手法、自社のログで確認すべき点、実際に防げているかを確かめる方法まで記載しています。
概要
5つのグループはいずれも、MITRE ATT&CKが北朝鮮政府と関連していると整理しているグループです。
Genoxが独自に帰属（アトリビューション）を判断した内容はなく、事案の事例も公開情報に記載されたものだけを載せています。
| グループ | ATT&CK ID | 主な目的 | 公開情報に見られる韓国関連の標的 | 代表的な公開資料 |
|---|---|---|---|---|
| Lazarus Group | G0032 | 情報収集、金銭窃取、破壊 | 金融、暗号資産、防衛・航空。MITREはDarkSeoul、Ten Days of Rainなどの作戦との関連もあわせて記載しています | CISA AA22-108A |
| Kimsuky | G0094 | 情報収集 | 政府機関、シンクタンク、外交・安全保障・北朝鮮分野の専門家、報道機関 | CISA AA20-301A、韓米共同勧告（2023.6） |
| APT37 | G0067 | 情報収集 | 主に韓国。韓国国内のWebサイトを経由した水飲み場型攻撃 | FireEye（2018）、Volexity（2021） |
| Andariel | G0138 | 情報収集、金銭窃取 | 政府機関、軍、韓国企業、防衛・航空・原子力・エンジニアリング | CISA AA24-207A（韓国国家情報院・韓国警察庁との共同） |
| APT38 | G0082 | 金銭窃取 | 銀行、暗号資産取引所、決済システム。韓国だけを狙っているとする根拠はありませんが、韓国の金融機関も同じ標的群に含まれます | CISA AA20-239A |
基準日 2026-11-07。この日にMITRE ATT&CKのグループページを改めて確認しました。ATT&CKはバージョンが上がるたびに手法の一覧や別名が変わるため、利用する前にもう一度原文をご確認ください。
Lazarus Group
MITREは、偵察総局（RGB）と関連するグループで、少なくとも2009年から活動していると記載しています。北朝鮮の組織同士が人員やツールを共有しているため、「Lazarus」が北朝鮮由来の活動全体をまとめる名前として使われることが多い点もあわせて明記しています。レポートによって範囲が異なるので、名前だけで同じ攻撃者だと決めつけないでください。
別名
主な標的
金融機関、暗号資産の利用者、防衛・航空分野の従業員。2019年から2020年のOperation Dream Jobでは、偽の求人とLinkedInアカウントを使って防衛・航空業界の従業員に接触しました。
初期侵入
求人を餌にしたスピアフィッシングが代表的です。CISA AA22-108Aは、ブロックチェーン企業のシステム管理者やDevOps担当者に高額な報酬の求人を持ちかけ、暗号資産取引アプリに偽装した悪性アプリ（TraderTraitor）をダウンロードさせた手口を説明しています。アプリに組み込まれたアップデート機能が、追加のマルウェアを取得して実行します。
2023年11月に英国NCSCと韓国国家情報院が出した共同勧告は、報道機関のサイトを経由して、韓国で使われているセキュリティ認証ソフトウェア（MagicLine4NX、CVE-2023-45797）の脆弱性を狙ったサプライチェーン攻撃を扱っています。勧告は北朝鮮と関連する攻撃者とだけ記載しており、特定のグループ名は挙げていません。
| 手法ID | 手法 | 戦術 |
|---|---|---|
| T1566.001 | Spearphishing Attachment（スピアフィッシング添付ファイル） | 初期アクセス |
| T1566.002 | Spearphishing Link（スピアフィッシングリンク） | 初期アクセス |
| T1059.001 | PowerShell | 実行 |
| T1543.003 | Windows Service（Windowsサービスの作成・変更） | 永続化 |
| T1547.001 | Registry Run Keys / Startup Folder（Runキー・スタートアップフォルダー） | 永続化 |
| T1110.003 | Password Spraying（パスワードスプレー） | 認証情報アクセス |
| T1557.001 | LLMNR/NBT-NS Poisoning and SMB Relay（応答の偽装とSMBリレー） | 認証情報アクセス |
| T1560.001 | Archive via Utility（圧縮ツールで収集データをまとめる） | 収集 |
| T1041 | Exfiltration Over C2 Channel（C2チャネル経由の持ち出し） | 持ち出し |
| T1485 | Data Destruction（データ破壊） | 影響 |
検知で確認すること
- メッセンジャーやメールで受け取った圧縮ファイルやインストーラーを実行した直後に、PowerShellやcmdが起動していないか。EDRのプロセスツリーやSysmonのイベント1（プロセス作成）で親子関係を確認します。
- 新しいサービスの登録（Systemログ7045）とRunキーの変更（Sysmon 13）。業務時間外に作られたサービスは、名前がもっともらしくてもバイナリのパスと署名を確認してください。
- 一つの送信元から複数アカウントへのログイン失敗が続くパターン。Windowsのセキュリティログ4625、4771とクラウドIDサービスのサインインログをあわせて見ないと、スプレー攻撃は見えてきません。
- ネットワーク上でLLMNR（UDP 5355）やNBT-NS（UDP 137）に応答している端末。使っていないなら、検知するよりグループポリシーで無効にするほうが確実です。
- 証明書や電子署名のエージェントなど、韓国の業務で使われるセキュリティソフトのプロセスがシェルを起動したり、見慣れない外部アドレスに接続したりするケース。サプライチェーン攻撃は、こうした正規のプログラムを経由して入ってきます。
Kimsuky
少なくとも2012年から活動している情報収集グループです。当初は韓国の政府機関、シンクタンク、各分野の専門家を狙い、その後は国連や、米国・日本・ロシア・欧州の政府、教育、製造分野へと標的を広げました。MITREは、2014年の韓国水力原子力への侵害をこのグループによるものと評価した資料を引用しています。
別名
主な標的
朝鮮半島の外交・安全保障、核政策、対北朝鮮制裁を扱う個人や組織です。2023年6月の韓米共同勧告は、シンクタンク、学術機関、報道機関を対象に、記者、研究者、政府関係者になりすました事例をまとめています。
初期侵入
公開された事例を見ると、まずは悪性ファイルを付けずに、インタビューや助言の依頼メールで接触する手口が繰り返し出てきます。返信があると、次のメールでHWPやOfficeの文書、圧縮したLNKファイル、またはクラウドストレージのリンクを送ってきます。ログインのセキュリティ警告を装ったアカウント乗っ取り用のリンクもよく使われます。2024年のFBIなどによる勧告は、DMARCポリシーが緩いドメインになりすましてメールを送った事例を扱っています。
| 手法ID | 手法 | 戦術 |
|---|---|---|
| T1566.001 | Spearphishing Attachment（HWP、Office、圧縮したLNK） | 初期アクセス |
| T1566.002 | Spearphishing Link（スピアフィッシングリンク） | 初期アクセス |
| T1204.002 | Malicious File（ユーザーによる悪性ファイルの実行） | 実行 |
| T1059.001 | PowerShell | 実行 |
| T1218.005 | Mshta（mshtaによる代理実行） | 防御回避 |
| T1547.001 | Registry Run Keys / Startup Folder（Runキー・スタートアップフォルダー） | 永続化 |
| T1053.005 | Scheduled Task（タスクスケジューラ） | 永続化 |
| T1003.001 | LSASS Memory（LSASSメモリのダンプ） | 認証情報アクセス |
| T1555.003 | Credentials from Web Browsers（ブラウザーに保存された認証情報） | 認証情報アクセス |
| T1102.002 | Bidirectional Communication（Webサービスを使った双方向通信） | コマンド&コントロール |
検知で確認すること
- mshta.exeが外部URLに接続したり、explorer.exeの配下でLNKを経由して実行されたりするケース。一般ユーザーのPCでmshtaを使う場面はまれなので、ベースラインを取るだけでも絞り込めます。
- Hancom Office Hangul（Hwp.exe）やOfficeのプロセスが、cmd、PowerShell、wscriptを子プロセスとして起動していないか。
- ユーザー権限で作成されたスケジュールタスク。セキュリティログ4698またはMicrosoft-Windows-TaskSchedulerの運用ログで、タスク名と実行コマンドをあわせて確認してください。
- ブラウザー以外のプロセスがChromeやEdgeのLogin Data、Cookiesファイルを読み取るケースと、新たにインストールされたブラウザー拡張機能。
- メールゲートウェイで、外部の送信者なのに表示名が機関の関係者や記者になっているメール。そして、自社ドメインのDMARCポリシーがp=noneのままになっていないか。
- ローカル管理者アカウントの新規作成（4720、4732）とリモートデスクトップの有効化の組み合わせ。レジストリのfDenyTSConnectionsの値の変更でも捕捉できます。
APT37
少なくとも2012年から活動している情報収集グループで、MITREは主な標的を韓国としています。日本、ベトナム、ロシア、中東などでも活動が報告されています。韓国国内のWebサイトを改ざんして訪問者を狙う手口が、複数のレポートで繰り返し取り上げられています。
別名
主な標的
MITREの説明では、主な標的国は韓国です。下記のVolexityの事例では、北朝鮮専門メディアのサイトを訪れる読者が狙われました。2016年から2018年のOperation Daybreak、Erebus、Golden Time、FreeMilkといった作戦がこのグループと結び付けられています。
初期侵入
水飲み場型攻撃、トレントサイトを通じた配布、HWP添付ファイルによるスピアフィッシング、ブラウザーや文書ソフトの脆弱性を突く攻撃です。Volexityは、2021年に北朝鮮専門メディアDaily NKのサイトにInternet Explorerの脆弱性（CVE-2020-1380、CVE-2021-26411）を突く攻撃コードが仕込まれ、その後Microsoft Graph APIで通信するBLUELIGHTというマルウェアが使われたと報告しています。
| 手法ID | 手法 | 戦術 |
|---|---|---|
| T1189 | Drive-by Compromise（水飲み場型攻撃） | 初期アクセス |
| T1566.001 | Spearphishing Attachment（スピアフィッシング添付ファイル） | 初期アクセス |
| T1203 | Exploitation for Client Execution（クライアントソフトの脆弱性悪用） | 実行 |
| T1059.005 | Visual Basic | 実行 |
| T1547.001 | Registry Run Keys / Startup Folder（Runキー・スタートアップフォルダー） | 永続化 |
| T1548.002 | Bypass User Account Control（UACの回避） | 権限昇格 |
| T1055 | Process Injection（プロセスインジェクション） | 防御回避 |
| T1027.003 | Steganography（ステガノグラフィー） | 防御回避 |
| T1123 | Audio Capture（音声の録音） | 収集 |
| T1102.002 | Bidirectional Communication（クラウド・SNSを使った双方向通信） | コマンド&コントロール |
検知で確認すること
- ブラウザーのプロセスが実行ファイルやスクリプトエンジンを子プロセスとして起動するケース。正常な動作ではほとんど発生しないため、誤検知の少ないルールです。
- まだ残っているInternet Explorerモードとmshtmlの利用状況。資産管理データからIEモードを使っているPCを洗い出しておくと、パッチの優先順位を付けやすくなります。
- ブラウザー以外のプロセスが、Dropbox、pCloud、Box、Yandex、Microsoft Graph APIといったクラウドのAPIに接続していないか。プロキシログやDNSログをプロセス名とひも付けて見ないと意味がありません。
- 画像ファイルをダウンロードした直後に、同じプロセスが実行可能なメモリ領域を作成するパターン（ステガノグラフィーで隠したペイロード）。
- HWP文書を開いた後に発生するネットワーク接続と、一時フォルダーに作られた新しい実行ファイル。
Andariel
MITREはAndarielをLazarus Groupの下位組織とみなし、少なくとも2009年から韓国の政府機関、軍、韓国企業を主に狙ってきたと記載しています。破壊を目的とした攻撃のほか、ATM、銀行、暗号資産取引所を狙った金銭目的の活動も行いました。2024年7月のCISA AA24-207Aは、米国・英国の機関と韓国国家情報院、韓国警察庁が共同で出した勧告です。
別名
主な標的
AA24-207Aによれば、防衛、航空宇宙、原子力、エンジニアリングが一次標的で、医療とエネルギーがそれに続きます。同じ勧告は、米国の医療機関を狙ったランサムウェアの収益が、情報収集活動の資金に充てられたと記載しています。
初期侵入
インターネットに公開されたサーバーの既知の脆弱性を突き、Webシェルを設置する手口が中心です。勧告にはLog4j（CVE-2021-44228）、Apache ActiveMQ（CVE-2023-46604）、TeamCity（CVE-2023-42793）などが挙がっています。ZIPの中にLNKやHTAを入れたフィッシングもあわせて記載されています。
| 手法ID | 手法 | 戦術 |
|---|---|---|
| T1592.002 | Gather Victim Host Information: Software（標的ホストのソフトウェア情報の収集） | 偵察 |
| T1190 | Exploit Public-Facing Application（公開アプリケーションの脆弱性悪用） (AA24-207A) | 初期アクセス |
| T1189 | Drive-by Compromise（ドライブバイ攻撃） | 初期アクセス |
| T1566.001 | Spearphishing Attachment（スピアフィッシング添付ファイル） | 初期アクセス |
| T1203 | Exploitation for Client Execution（クライアントソフトの脆弱性悪用） | 実行 |
| T1505.003 | Web Shell（Webシェル） (AA24-207A) | 永続化 |
| T1027.003 | Steganography（ステガノグラフィー） | 防御回避 |
| T1049 | System Network Connections Discovery（ネットワーク接続の探索） | 探索 |
| T1057 | Process Discovery（プロセスの探索） | 探索 |
| T1105 | Ingress Tool Transfer（外部からのツールの持ち込み） | コマンド&コントロール |
表示のない手法はMITREのグループページ、括弧付きの表示がある手法はCISAの勧告の内容に基づいて記載しました。
検知で確認すること
- Tomcat、ActiveMQ、TeamCityといったJavaのサーバープロセスが、cmd、PowerShell、shを起動していないか。Webサーバーのアカウントがシェルを実行した瞬間が、最も早いシグナルになることが多くあります。
- Webルートに新しく作られた、または変更されたjsp、aspx、phpファイル。ファイル整合性監視がなければ、まずはデプロイ履歴とファイルの更新時刻を比べるところから始めてください。
- 勧告に記載されたコマンドのパターン。netstatで接続一覧を確認する、curlで一時フォルダーにファイルを取得する、vssadminでボリュームシャドウコピーを作成した後にNTDS.ditをコピーする、といったものです。
- Mimikatz、ProcDump、AdFind、Impacket、PLINKなどのデュアルユースツールの実行。管理者が実際に使っているツールの一覧と突き合わせることで、誤検知が減ります。
- VMProtectやThemidaでパックされた実行ファイル、内部サーバー間のRDPによる移動、それに続くクラウドストレージやFTPへの大容量の送信。
APT38
偵察総局と関連する金銭目的のグループで、少なくとも2014年から、少なくとも38か国の銀行、金融機関、カジノ、暗号資産取引所、SWIFT端末、ATMを狙ってきました。2016年のバングラデシュ中央銀行の事件が代表例として挙げられます。公開情報は韓国を個別に取り上げてはいませんが、韓国の金融機関や暗号資産事業者も同じ標的群に含まれるため、ここに掲載しました。
別名
主な標的
銀行の決済スイッチサーバーとSWIFT端末、銀行間の決済処理事業者、暗号資産取引所です。MITREのグループページには、npmパッケージを使ったソフトウェアサプライチェーンの侵害も掲載されています。
初期侵入
CISA AA20-239Aは、応募書類に偽装した添付ファイルによるスピアフィッシング、水飲み場型攻撃、インターネットに公開されたアプリケーションの脆弱性、窃取した正規アカウント、取引関係にある外部事業者、外部向けリモートアクセスサービスを挙げています。侵入後は、決済スイッチでISO 8583の承認メッセージを横取りしてATMからの現金引き出しを承認するマルウェア、FASTCashが使われました。
| 手法ID | 手法 | 戦術 |
|---|---|---|
| T1195.001 | Compromise Software Dependencies and Development Tools（依存関係・開発ツールの侵害） | 初期アクセス |
| T1566.001 | Spearphishing Attachment（スピアフィッシング添付ファイル） | 初期アクセス |
| T1189 | Drive-by Compromise（ドライブバイ攻撃） | 初期アクセス |
| T1059.001 | PowerShell | 実行 |
| T1543.003 | Windows Service（Windowsサービスの作成・変更） | 永続化 |
| T1553.005 | Mark-of-the-Web Bypass（MotWの回避） | 防御回避 |
| T1070.006 | Timestomp（タイムスタンプの改ざん） | 防御回避 |
| T1565.002 | Transmitted Data Manipulation（送信中データの改ざん） | 影響 |
| T1657 | Financial Theft（金銭窃取） | 影響 |
| T1485 | Data Destruction（データ破壊） | 影響 |
検知で確認すること
- 決済スイッチサーバー（AIX、Linuxを含む）に新たに現れたプロセスと共有ライブラリ。こうしたサーバーは変更がまれなので、許可リスト方式がよく合います。
- SWIFT端末や決済サーバーへの業務時間外のログイン、普段と異なる送信元からの管理者セッション。
- ファイアウォールのポリシーに、443、6443、8443、9443番ポートの例外が新たに追加されていないか。AA20-239Aに記載されたパターンなので、変更管理の記録とすぐに突き合わせられます。
- 開発者のPCやビルドサーバーで、npm install中にpostinstallスクリプトが外部へ接続したりシェルを起動したりするケース。
- ISO、IMG、VHDなどのディスクイメージ内のファイルが実行されるケース（MotWの回避）と、イベントログの消去（セキュリティログ1102）。
読む際の注意点
グループの情報は出発点としては便利ですが、そのまま検知ルールに置き換えると見落としが生じます。
グループの名前と境界はベンダーごとに異なります
MITREも5つのグループページすべてに、「北朝鮮のグループの定義は互いに大きく重なっている」という趣旨の説明を付けています。AndarielはLazarusの下位組織として、APT38はBlueNoroffと同じ名前でまとめられることもあります。グループ名よりも手法単位で備えるほうが混乱は少なくなります。
IoCはあえて載せていません
ハッシュ、IP、ドメインは数週間で変わります。必要であれば、上記の勧告に添付されたSTIXファイルやYARAルールを直接入手してお使いください。このページは、長く通用する振る舞いのパターンを中心に記載しています。
手法の一覧は一部だけを選んでいます
どのグループも、ATT&CKに登録された手法は数十にのぼります。ここでは初期アクセスから影響までの流れが見えるよう6〜10個だけを選びました。全体の一覧は、MITREのグループページからATT&CK Navigatorのレイヤーとして入手できます。
ログがなければ、検知のポイントも意味を持ちません
当社が診断してみると、Sysmonが一部のサーバーにしか導入されていなかったり、PowerShellのスクリプトブロックログ（4104）が無効になっていたりするケースがよくあります。上記の項目を確認する前に、該当するログが実際に収集されているかをまず確かめてください。
自社の環境でこれらの手法が防げているか知りたい場合
プロアクティブ検証では、上記グループの手法を承認された範囲内で実行し、防御・検知・見逃しの結果をATT&CKのマップにまとめてお渡しします。脅威情報の購読については脅威インテリジェンスのページをご覧ください。
参考資料
いずれも2026-11-07にアクセスして確認しました。
- Lazarus Group, G0032, MITRE ATT&CK
- Kimsuky, G0094, MITRE ATT&CK
- APT37, G0067, MITRE ATT&CK
- Andariel, G0138, MITRE ATT&CK
- APT38, G0082, MITRE ATT&CK
- TraderTraitor: North Korean State-Sponsored APT Targets Blockchain Companies (AA22-108A), FBI · CISA · 米財務省, 2022.4
- UK and Republic of Korea issue warning about DPRK state-linked cyber actors attacking software supply chains, 英国NCSC · 韓国国家情報院, 2023.11
- North Korean Advanced Persistent Threat Focus: Kimsuky (AA20-301A), CISA · FBI · CNMF, 2020.10
- North Korea Using Social Engineering to Enable Hacking of Think Tanks, Academia, and Media, 韓国国家情報院 · 韓国警察庁 · 韓国外交部 · FBI · 米国務省 · NSA, 2023.6
- North Korean Actors Exploit Weak DMARC Security Policies to Mask Spearphishing Efforts, FBIほか, 2024.5
- APT37 (Reaper): The Overlooked North Korean Actor, FireEye, 2018
- North Korean APT InkySquid Infects Victims Using Browser Exploits, Volexity, 2021.8
- North Korea Cyber Group Conducts Global Espionage Campaign to Advance Regime's Military and Nuclear Programs (AA24-207A), FBI · CISA · NSA · 韓国国家情報院 · 韓国警察庁ほか, 2024.7
- FASTCash 2.0: North Korea's BeagleBoyz Robbing Banks (AA20-239A), CISA · 米財務省 · FBI · USCYBERCOM, 2020.8
- APT38: Un-usual Suspects, FireEye, 2018