APT-C-60による2026年の攻撃
前回、前々回のブログで、日本国内の組織を狙ったAPT-C-60による攻撃内容について紹介してきましたが、JPCERT/CCでは引き続き同様の攻撃活動を確認しています。今回確認した攻撃では、初期侵害の手法や攻撃インフラに一部変化が見られました。本記事では、2026年に確認されたAPT-C-60の攻撃の流れを中心に解説します。
初期侵害方法
攻撃の流れを図1に示します。今回確認した事例では、スピアフィッシングメールにProton Driveのリンクが記載され、Proton DriveからRARファイルをダウンロードさせる手法が使われていました。RARファイルを展開するとLNKファイルなどが含まれており、被害者がこのLNKファイルを開くことで後続の感染処理が実行されます。また、類似の事例として、Proton Driveを経由せず、悪性ファイルがメールに直接添付されるパターンも確認しています。
図1：初期侵害の流れ
LNKファイルの挙動
感染時に使用されたLNKファイルは、実行されると自身をコピーした後、mshta.exeを使用して自身に含まれているJavaScriptを実行します。図2に示すとおり、LNKファイルにはJavaScriptコードが含まれており、LNKファイルの実行後にこのコードが呼び出されます。これによって、Windowsの正規プログラムを利用しながら後続のペイロード取得や実行につながる処理が行われます。
図2：LNKファイルに含まれているJavaScriptコード部分
LNKファイル実行後の感染の流れを図3に示します。LNKファイルに含まれているJavaScriptコードは難読化されていますが、主に次の機能を持っています。
- jsDelivrからファイルcontributing[1].txtをダウンロード
- ダウンロードしたcontributing[1].txtを検索、デコード、展開
- 展開されたフォルダー内にある正規のgit.exeを使用して同一フォルダー内のスクリプトを実行
図3：LNKファイル以降の感染の流れ
実行されたスクリプトを図4に示します。展開されたフォルダー内にある.dbファイルを結合することで、ダウンローダーを作成し、実行します。ダウンローダーはGitHubなどの正規サイトへアクセスし、追加のダウンローダーやローダーを取得して実行します。なお、Git.exeを使用したスクリプトの実行手法や永続化手法などは、2024年および2025年の攻撃でも確認されており、今回の攻撃でも同様の手法が使用されています。詳細は、前回、前々回の記事をご参照ください。
図4：スクリプトの中身
攻撃インフラに使用された正規サービス
実行されたダウンローダーのアクセス先には、これまでと同様に複数の正規サービスが使用されていました。2025年の攻撃ではGitHubやBitbucketが使用されていましたが、2026年の攻撃ではGitHubに加えて、GitLab、jsDelivr、Codebergが攻撃インフラとして悪用されていることを確認しています。また、攻撃者は正規サービスを使用することで通信やダウンロードを一見正常なアクセスに見せかけようとしている可能性があります。特に、開発者向けサービスやCDNは業務環境からのアクセスが許可されている場合も多く、通信先のみをもとにした検知や遮断が難しくなる点に注意が必要です。
ダウンローダーはこれらの正規サービスから最終的にSpyGlaceというマルウェアをダウンロードし、実行します。今回の攻撃ではSpyGlaceのv3.1.15、v3.1.17、v3.1.18を確認していますが、以前のバージョンと比べて機能面における大きな違いは確認していません。
おわりに
今回確認したSpyGlaceを使用した攻撃では、Proton Driveを利用したファイル配布、RARファイル内のLNKファイル、mshta.exeによるJavaScript実行、さらにGitHub、GitLab、jsDelivr、Codebergといった正規サービスの悪用が確認されました。これらの攻撃は、正規サービスやWindowsの標準機能を悪用する点で、検知が難しい場合があります。不審なメールに記載されたクラウドストレージのリンクや、RARファイルなどのアーカイブ内に含まれるLNKファイルを開かないよう、引き続き注意が必要です。確認した通信先やファイルハッシュなどのIoCについては、Appendixに記載していますのでご参照ください。
サイバーセキュリティコーディネーショングループ 増渕 維摩
Appendix A：IoC Network（SpyGlaceの通信先）
- 31.58.136[.]207
- 154.18.239[.]209
- 173.234.11[.]141
- 185.18.222[.]241
- 213.111.158[.]200
- 213.111.158[.]201
- 213.111.158[.]216
Appendix B：URL of the legitimate service used by the attacker
- https[:]//c.statcounter[.]com/13178005/0/7f3c2735/1/
- https[:]//cdn.jsdelivr[.]net/gh/mei1990789/class125/
Appendix C：IoC File
表1 ファイル一覧
| Content | Filename | Hash（SHA256） |
|---|---|---|
| Downloader1 | iconcache.dat | 48bb091e0cab562fe094e0ef6a77b434dba97380c09a707220cbd9ca37999484 |
| Downloader1 | iconcache.dat | 5e97848bebf521766910d9c8378e98bf7aa1ce4b06aeb6c3f86c31ababbe9663 |
| Downloader1 | iconcache.dat | 60972abf5425c191c81bae117f1dedaea13d39bc52f367d5dff9ad1aa4b9c5ca |
| Downloader1 | iconcache.dat | 71819a1b856b49e7f194ce60468ed8e5ea925c75d01484f4d28ffcf69d480b36 |
| Downloader1 | iconcache.dat | 83a22d4f61b054bda53a2ea4f506e97d818c7c961d8cd3975c1f2a51443cf95c |
| Downloader1 | iconcache.dat | 866564bb455bb3c9f3e15cbbc1dcaf75c533a224eb96c4b6d6739e114ee1d065 |
| Downloader1 | iconcache.dat | cc2a6a3b4b771aba341293d2321e5f7b70cf517403fe44a58635b043e8868bdb |
| Downloader1 | iconcache.dat | fa53663bfb80e197483e1a1bf123b94fa869e2d7f42b5fdfbff2869589b65a05 |
| Downloader2 | Cached2014.tmp | 6b84eab2aac7754b99d04365a83ec374e3cea99cc3223118a5f8fd545a8483e5 |
| Downloader2 | Encoded_File.tmp | 0bda4beded9c2923fe16f20b7cbd7baf1a5b7078be5cde715592529a974f9bd9 |
| Downloader2 | Encoded_File.tmp, inst.tmp | a7981dfccd8e4bdc00133dc15b22472c1677d6270826863caa36e7d58ef50de0 |
| Downloader2 | a101.dat | 1b25c3d56fdb195b427a9c3bfc1f0e98e77a15322e8d3fc53a18edcc4891847f |
| Downloader2 | iconcache.dat | 119ad3dce05b5ef3db5a76655ac050eac51e318f1f31351ac103693a0a849158 |
| Downloader2 | item.tmp | 0420fd9e5f9961458604909391fb0f1a353c17c986b55fc5722c1b68e41865df |
| Downloader2 | item.tmp | 2952d72ad1d44f3d424600b8fa4076794e2e072ab46936012a5fb872c67ce189 |
| Downloader2 | job.tmp, akdjfiwnkd.tmp | 3f2f69a8403e6b4e02ebe65448caf6abb8e2fbd1f7636ec71599f2d2d5fac8fb |
| Downloader2 | newjob.tmp | a9fd615fce38756ba6de8994f200e4b846397648138a9a0e6ef3b5952ef5e68c |
| Downloader2 | reaconinst.tmp | a4c8a56070fe6f613e79a14554d0a1dba2f70ce2b93319e72972943cc66edf4a |
| Downloader2 | wincfg.db, Cached.tmp | c4768d99445128c670a6f848bc69371872e4d6a2160dbe0073e62ffd786c94ee |
| Install Script | msdic.log | 7aa76237a7686583cc526b9d1a8486a52bd44a448d75ced51e1df4ba29ddb163 |
| Install Script | msdic.log | d567af55c97b7a595fcde5082e37a752718044230c16704e24efb43025bed0c2 |
| JS File | basecode.dat | 14d799f7897d25f7cfb4d1c86f43c791b6d778d2efd92b5fac4f65fc472bf501 |
| JS File | basecode.dat | 16bdde15cbf9190883c146bab495c8be73daff4fff5ffbf86b4ee46847103fba |
| JS File | call1.js | 8114e3f213713dbbbacafcd0f62884a7826139b434bb3c77eae8dce656477621 |
| JS File | call2.js | ab5aba292c983db324987e9fde2e01fe24a979d1587888fcc7460c9489c54ee0 |
| JS File | call3.js | b5458541732f91793ef89cc58ec5e46d04bf43985ab4e6dc5ad10b6da21581ec |
| JS File | call4.js | e6a414a53206e25d061a11e63c7d381ab0eb80cd3d174bd13551e2c36f8b5c04 |
| JS File | call41.js | 1ae423e91f6cd679f9ea5be879b07379633b05cd850c37a8a65cdeaf508d097e |
| JS File | close.js | 7900c2772680523cadc9fe4e07300d45500191ba64ff5b91573531b133840b14 |
| JS File | close.js | 94072d60170fc72a528f68b2b3826638dbb7283c8906e8051f53fe16eaf054f8 |
| JS File | close.js | ad1c890f458b94683464c4d6d6d41fe63551c2c06ba2a1b8f71d8acb6ab16de3 |
| JS File | close.js | ffe5853d19be1acfe12bd681c7390d8fa88534a471020e6866a9e7c37d01fea2 |
| JS File | help.dat | 62a879b0d1c1649cc72b2b6f61a8f6bd888625ce6e8a7aefe0a0461e4f27c525 |
| JS File | help.js | 0bf85d9065feb20ee946acf77c985cc7ec78de048ee41d8c5931e0e88873efaa |
| JS File | help.js | 21ddfbf726caa6d0f32a6bbce8e619f75c81f884bca48564c7a0e5a84bf4bd39 |
| JS File | help.js | 2c98781e39a091b370ebd748b495c45752b2c54cdf2c36814358c8c6bd3ae912 |
| JS File | help.js | 5272917261d7091a59e00f9d09cd7eb1d3e111115a5b367f79a66d0d7c7b01f4 |
| JS File | help.js | 78c108be692f1c45ed1da1988e3c5ac792c832a78d0b6e8e6550763156fe8f97 |
| JS File | help.js | 9706ee93f9b4b8214293e2ca4a68525eccaacfea58b135dcb2ea661a099ee9e6 |
| JS File | help.js | a1f0e6a30dc9753c5cbc80fd9df50eb44aee5a2349223b915b758af746275320 |
| JS File | help_v3.js | 3b7a80fc62eb8b248fd0be0d94c78f1efe2f510499c68865a6d0c4ead6bc4055 |
| JS File | help_v4.js | a9287e3452ab09144120ecdd20ed7365de589d5dcad28dcd8e191742d1ce5744 |
| JS File | help_v5.js | 5ab41cf20315d2ea1385967d588159873a65ef5581a0b78de06c0d8617894194 |
| JS File | index.js | 131d8f72fde45c5ca1f662c510c3da16fbcd8ff6ef9b9fd893c25a9c8e8ec205 |
| JS File | test.dat | 7d09891e26d56a8bec44c3fe9a5791f3a93e8fa31539951ae6e2c40af83ba42d |
| LNK File | desk.lnk | 2d8def39b76ca17b419e5084832105c0167a171fdcc14eebd0c872ccb7bf9b0c |
| LNK File | desk.lnk | fd0c7713520bd19c3e2566e93696532aa7da39a0c5ce1a797b67ce777b56d395 |
| LNK File | idx2.lnk | 899ce01e7313f4c1cfcf07cb2456282ded1d6b6c57286762f2914a9d60de0146 |
| LNK File | information.lnk | fa98deb16bd72f2f77349c8c24de674a007a3d1ec8e88dd590791a57c08ab8f6 |
| LNK File | ipo6.lnk | 44a4ac119349f525d877728b53fe38453a516881d577679caf08ab69312a695f |
| LNK File | 利権癒着の具体的内容.lnk | 5c3d820e032592f47ffb4850ae0183749199b3e0dca3413cd0c3cb631e322f1b |
| LNK File | desk.lnk | 2d8def39b76ca17b419e5084832105c0167a171fdcc14eebd0c872ccb7bf9b0c |
| LNK File | desk.lnk | fd0c7713520bd19c3e2566e93696532aa7da39a0c5ce1a797b67ce777b56d395 |
| LNK File | idx2.lnk | 899ce01e7313f4c1cfcf07cb2456282ded1d6b6c57286762f2914a9d60de0146 |
| LNK File | information.lnk | fa98deb16bd72f2f77349c8c24de674a007a3d1ec8e88dd590791a57c08ab8f6 |
| LNK File | ipo6.lnk | 44a4ac119349f525d877728b53fe38453a516881d577679caf08ab69312a695f |
| Loader | 0311_2nd_sdll.dat | 5115277eabf2d22d49dcef1e155874387d8e783853bd86debf7ff58588aae35d |
| Loader | Encoded_File.tmp | 2b650e2e2c46a52378aee70fbaff1ce5e832c759c5f937532047f52500428c4d |
| Loader | Encoded_File.tmp | 8a8cabe5f94e7f4c0ccca97f0c361618ec944df03d8b3bfcfdd76a25dd8f7a5a |
| Loader | Encoded_File.tmp, sta.tmp | f0af281623b422c1d45e7006d78678762341288c05abcb62648ce55c6b63acb6 |
| Loader | Encoded_File2.tmp | 8ba3997afa07ac60312edf5f2d16357d1532a140081d638a9e4653768026ac56 |
| Loader | sDll_jj.dll | 86ab5161f761822d16637d4d34b84ca6e1f66cea905aa27510620c9cf5f170d8 |
| Loader | sdll.tmp | 843c4dc402e96ed72d7716d980c99e5dfa222a2a322250b7c3755a00d142bc1f |
| Loader | sdll.tmp | 9a19598ea286d5f6fa0b7ff981ba21aff503fb217757f4dfbd496ead01805543 |
| Loader | sdll.tmp | e8514a2372172b4975f77bf69d5e8b7708cfa60157b064fcab13d7a62a99cc55 |
| Loader | sdll2.tmp | 248ded4723e9f5da793e5e42d1ba7c2293dd704718f149b84b3b9b818a1f51db |
| Loader | sdll3.tmp | 3c509ec732979d8c91009d2c9f898bea81f3fc4064c3c56576257f61f9bfaaee |
| Loader | sdll3.tmp | 55640ad319208915593db8ad43724dddf6e6e17fc6b0014affa69c90f5cd1eb4 |
| Loader | sdll3.tmp | c1faaff24d58af798c77d34405379df0a9e883e5bd1100a86d4c3e001414acd8 |
| Loader | sdll3.tmp | f50a01ae446adfcaaddffe215abd94b5643211e83d52acf5de540abf9fb26045 |
| Loader | test1.txt | 6cdc895eda4847f700d6f82fa2e3a8c72c10da1e16455985df855372142ebbd8 |
| Part of Downloader | TMI003.db | d14214e95c9d1ea850e508dfe27928494f2155a7597e4ea0bad9f70690abb397 |
| Part of Downloader | TMI100.db | 131c27c3dce040979044ac1d363050c5d226af76aef1454bbf87c7193f8fc747 |
| Part of Downloader | TMI100.db | 1aaf59f05bb724d501cc9bcd6642ab8fd7347cf274d46c24719c9dced9b22bea |
| Part of Downloader | TMI100.db | 22de84e8f29cba932cf65cf4dc1d333cb8b2e468204f97030712bee32691ac3b |
| Part of Downloader | TMI100.db | 3e2bc0bd2eb84282086cc5946673b22414a16e982402f1f05ea57059d2962588 |
| Part of Downloader | TMI100.db | 43d597783af656a35184021f5e20686896463a1712f9216e0217a2ca740e3935 |
| Part of Downloader | TMI100.db | 50ebf107d522326c9a9db8821fe3263aa5136964faaf5dd183657bbb52725f84 |
| Part of Downloader | TMI100.db | afca3bb9fb8d7a4ab4ceb9707f6d9a17352ccfb8ece83c68b01fbb419818e2fc |
| Part of Downloader | TMI100.db | deba513e2dc52a2931e61f5ac6d550a7938c1f7f63f661867c09d6141ee98560 |
| Part of Downloader | TMI210.db | 18683bba19695d325372d195634afd2f76b14896ba68225ba51ea5a039f2f76d |
| Part of Downloader | TMI210.db | 45b2ba7c7a39817e1421f2abe2f869fa16af9651a6c863ac59683268fb391fe6 |
| Part of Downloader | TMI320.db | 555360fb918b959176d669ef0ed40ec0b5ee57005fc625109891a16d02952462 |
| Part of Downloader | TMI320.db | 771a47120b935e218322046e838347d722d265b91f1afdef91194a5bec86a97a |
| Part of Downloader | TMI400.db | 002e1207b96361fc4d53b10621225d61700003241fa38caacb411384b3d51135 |
| Part of Downloader | TMI400.db | 0120a6396952aec3f05ec0b0efe25e2a1b73545d55d74a3ac0bcd359d29f52bb |
| Part of Downloader | TMI400.db | 23b37d2ebe683cec3b145b6f2234ee728b99228cf3774399fcfad9502daab9a9 |
| Part of Downloader | TMI400.db | 7b297f18ece81e87608e158288cc9c06cb9f4a8f1b2d2256aecf7bba8d7be2ab |
| Part of Downloader | TMI400.db | 8f08ead23767e1e4389927c40af167122b477ad17a98d388c863342dc9259c5e |
| Part of Downloader | TMI400.db | 9789d80077998010c47a6a02ef1241eab11b69d667de8751b1e93fed6df913eb |
| Part of Downloader | TMI400.db | a18b5a78143f004f33aafad998b518ad9ee4dbdec44817a6e9b570e727d3e22c |
| Part of Downloader | TMI400.db | a8bee6c4a5860b0ae08a984d2a6d62c13d3e91d9514262998924d2e0cef88f7c |
| RAR File | 具体的内容.rar | 151b2dc70d141c12a33d8e45a80659fc53a71734e27233326bff150ac87744ea |
| SpyGlace v3.1.15 | Encoded_File.tmp | e5f2c7068ade7b87d24c3b94bc749c351d53609f5fcaa48dce06234beaa2444f |
| SpyGlace v3.1.15 | sdll.tmp | 9394627e9c44cf2226ddf50012e5cf47ccf7d3bd8afa2395c635a93637e23502 |
| SpyGlace v3.1.15 | sdll.tmp | add013bf7ffc8a89789a7fd0ae0ff799c620af9b2755b214880b6a56768fd48c |
| SpyGlace v3.1.15 | sdll.tmp | c86f319f64d25f23ac29d9b53c9764f06a150634ee8e2d836424d460e5a99b52 |
| SpyGlace v3.1.17 | test2.txt | 669002654c264191d4660fbf757860d930175649735f81370b9f1af3658a304c |
| SpyGlace v3.1.18 | test2.txt | 3f67b777660241a1afc39f2ec388cac933a9eb31b3a34bddd12e39e663f1b566 |
| SpyGlace v3.1.18 | test2.txt | 7c3d0bebd263d3529132f2299de55a7801bf3ff40c833b13838be7a98ea3475e |
| SpyGlace v3.1.18 | test2.txt | 86c49174a032ebbba6aeb1541e2aa84da0933b2eac3976f8705451c13bc7f325 |
| SpyGlace v3.1.18 | test2.txt | b3f0d48506ff868ba145c9dcad7622bc37b723155648053ce2e2e73d8ea30e93 |
| SpyGlace v3.1.18 | test2.txt | c9295c923da64738b93ff1827a39a5cb8f6c71eab060de416c8175a4a67da524 |
Appendix D：Spear-phishing Email sender
asako.t1011@protonmail.com ayuko0328@protonmail.com
Appendix E：Attacker Management Repository
https[:]//github[.]com/mei1990789/class125 https[:]//github[.]com/sapphire679/tblsesarol/ https[:]//github[.]com/sapphire689/dnaluakxit https[:]//github[.]com/wanib11399/zjeqopmfit https[:]//github[.]com/cafes39636/ngwtaepesf https[:]//github[.]com/rapefo2905/rncprjmauw https[:]//github[.]com/hexif45133/yedkatinrc https[:]//github[.]com/jewexo9791/archibkyof https[:]//github[.]com/lowege1212/izrtysherg https[:]//github[.]com/gixop88415/glfhvhtzih https[:]//github[.]com/kapap40675/fpqtzyofdl https[:]//github[.]com/cefobe3574/kojyyvtkqo https[:]//github[.]com/vogenoc114/qlofnsayvl https[:]//github[.]com/bohihef411/tuikfwoveb https[:]//github[.]com/waxiyes819/dymcdbqqen https[:]//github[.]com/fehijow850/uywcrcvlnb https[:]//github[.]com/yefixi3890/krbgqbmlho https[:]//github[.]com/williams250666/bluenote554 https[:]//gitlab[.]com/sapphire689/dnaluakxit https[:]//gitlab[.]com/cafes39636/ngwtaepesf https[:]//gitlab[.]com/rapefo2905/yedkatinrc https[:]//gitlab[.]com/lowege1212/eboralfotj https[:]//gitlab[.]com/kapap40675/fpqtzyofdl https[:]//gitlab[.]com/vogenoc114/qlofnsayvl https[:]//gitlab[.]com/waxiyes819/dymcdbqqen https[:]//gitlab[.]com/yefixi3890/krbgqbmlho https[:]//codeberg[.]org/ochi_ma992/3tv9239irfn83 https[:]//codeberg[.]org/meca922199/ertlokefgpokjper2359 https[:]//codeberg[.]org/Hamilton385673/eff88e889w33456
Appendix F：Email address used for the commit
sapphire679@proton.me sapphire689@proton.me meimei91@protonmail.com rapefo2905@outlook.com jewexo9791@outlook.com legDevMachine@protonmail.com
Appendix G：Victimized devices identified from the GitHub repository（Volume Serial Number and Computer Name）
1510781397@DESKTOP-CJU6TU7 1785033524@2024NOTEBOOK 2264373920@DESKTOP-S9E6ADG 2419945818@BD1 2428126365@SDI-WIN 242922728@DESKTOP-5K5ICQ5 2590771213@DESKTOP-LAVUNRP 317267226@DESKTOP-V1R49JC 3290476432@DESKTOP-J734R21 3362573326@DESKTOP-43R2GH0 3386414762@DESKTOP-MKV3QN0 3629482019@DESKTOP-8UM79S5 3704188960@DESKTOP-D1Q1I0J 3836479251@ADMIN-PC 409023259@JAY-PC 4127454498@DANY-LAPTOP 4166053503@LAPTOP-JHA4UD2S 582552893@LV 1409377236@DESKTOP-6OND78S 2283291050@DESKTOP-9CPEB4D 2590772946@DESKTOP-GL14J4L 3159231749@DESKTOP-SS0PND9 4166214414@DESKTOP-B9JE10V 840033591@DESKTOP-DBNHUR7
