Kimsukyは北朝鮮との関連が指摘されているハッキンググループで、ソーシャルエンジニアリングやスピアフィッシングを活用した情報収集活動で知られています。2012年頃から活動していると評価されており、韓国の政府機関やシンクタンク、外交・安全保障分野の専門家などを主な標的としてきました。
代表的な手法の1つが、正規サービスのログインページを模倣して認証情報を窃取する方法です。2023年に発表された米韓共同のセキュリティ勧告では、KimsukyがWebポータルの運営者や管理者を装い、アカウントのロックや不審な活動を通知したうえで、セキュリティ対策を名目にフィッシングリンクへ誘導する手法が説明されています。ユーザーがアカウントを保護するために入力したユーザー名やパスワードが、逆に攻撃者へ送信される仕組みです。
本記事では、Kimsukyとの関連が疑われるインフラとして共有されたドメインをCriminal IP ドメイン検索で確認します。不審なリンクへ直接アクセスすることなく、レポートのページプレビューからMicrosoftログインを装った痕跡を確認し、同一サイトの別パスで観測されたphpMyAdminのログイン画面についてもあわせて検証します。ただし、Kimsukyとの関連性は提供された情報に基づくものであり、取得した画面だけから攻撃主体やC2機能を断定することはできません。
MicrosoftやOutlookを想起させる分析対象ドメイン
Kimsukyのフィッシング攻撃では、ユーザーに馴染みのあるWebメールやアカウントサービスを装い、偽のログインページへ誘導する手法が繰り返し観測されています。セキュリティ警告やアカウント異常などのメッセージでアクセスを促し、実際のサービスに似せたログイン画面上でメールアドレスやパスワードを入力させる方法です。
特にMicrosoftアカウントやOutlookのような業務用サービスは、メール、文書共有、アカウント認証などで広く利用されているため、フィッシングページの題材として悪用される可能性があります。攻撃者は、ドメイン名にも正規サービスを連想させる単語を組み合わせ、ユーザーがリンクを見た際の警戒心を下げようとします。
今回の分析では、Kimsukyとの関連が疑われるインフラとして共有された5つのドメインを確認しました。一部のアドレスにはoutlook、mail、office、365、credencialなど、MicrosoftやOutlookのアカウントサービスを連想させる文字列が含まれていました。
| 分析対象ドメイン | 共有時に確認された状態 |
|---|---|
| outloomailofice.dothome[.]co[.]kr | アクセス制限サイト |
| outlooklive365.dothome[.]co[.]kr | アクセス制限サイト |
| credenciall365.dothome[.]co[.]kr | Microsoftを装ったページを確認 |
| liveoutlook365.dothome[.]co[.]kr | サイト消失として共有 |
| sistema365.dothome[.]co[.]kr | アクセス制限サイト |
5つのドメインは、共有時点でそれぞれ異なる状態でした。一部はすでにアクセスが制限されていたほか、サイト自体が消失していましたが、credenciall365.dothome[.]co[.]krではMicrosoftログインを装ったページが確認されました。
Criminal IPでフィッシングページと同一サイトの管理用パスを確認
不審なログインリンクを調査する際は、画面上に表示されたブランドだけでなく、実際のドメインのリスクや接続情報もあわせて確認する必要があります。Criminal IP ドメイン検索では、ドメインスコアリング、ページプレビュー、関連ドメイン・IP、証明書、使用技術などの情報を提供しており、不審なサイトの構成やリスク要素を確認する際に活用できます。
Criticalに分類されたドメインの分析結果
Criminal IP ドメイン検索の分析対象: credenciall365.dothome[.]co[.]kr
関連レポート: Criminal IPドメインレポート
Criminal IP ドメイン検索では、このドメインのスコアリングはCriticalに分類されています。レポートで提供されるページプレビューを活用することで、分析者は不審なリンクへ直接アクセスすることなく、分析時点で収集されたWebページの画面を確認できます。
今回の事例でも、Microsoftアカウントのログイン画面を模倣したページが確認され、ドメインのリスク評価とあわせて、ブランドのなりすましやアカウント情報の入力を誘導する痕跡を確認できました。
取得された画面には、Microsoftロゴとアカウント入力欄が表示されています。スペイン語で「ログイン」を意味する「Iniciar sesión」の下には、メールアドレス、電話番号、Skypeの入力を案内する文言があり、「Siguiente」ボタンやアカウント作成リンクも配置されています。正規のMicrosoftログイン手順を想起させる構成です。
しかし、アドレスバーに表示されているホストはcredenciall365.dothome[.]co[.]krです。Microsoftアカウント情報の入力を求める画面が、Microsoftの公式認証ドメインではなく、別のホスティングアドレス上で提供されている点が、重要ななりすましの兆候です。
ページプレビューとあわせて、関連ドメイン・IP、証明書、使用技術の情報を確認することで、サイト構成や外部との接続関係を把握できます。特に、正規サービスのリソースを読み込むフィッシングページも存在するため、接続情報にMicrosoft関連ドメインが含まれているという理由だけで、正規サイトと判断してはいけません。画面上のブランド、実際の接続先アドレス、ドメイン分析結果を総合的に確認する必要があります。
同一ドメインで確認されたphpMyAdminログイン画面
Microsoftを装ったページが確認されたサイトのURL末尾に /myadmin/ を追加すると、phpMyAdminのログイン画面が表示されます。これは、同一サイトの別パスからデータベース管理ツールへアクセスできることを示しています。
ただし、/myadmin/ はdothomeが標準で提供しているデータベース管理用パスであるため、攻撃者が別途設置した管理パネルや、窃取した情報の保存先であると断定することはできません。
フィッシングドメイン分析を実際の対応につなげる方法
ドメイン調査の結果は、組織内のアクセス履歴と照合することで、実際の対応に活用できます。アクセスが制限されている場合や、すでにサイトが消失している場合でも、既存レポートの分析時点や取得済みの画面を確認することで、当時の状況を検証する手掛かりになります。
- ドメインのブロックを検討： 確認されたフィッシングホストをメールやWebセキュリティポリシーに反映し、共有ホスティング全体に影響を与えないよう、個別ホスト単位でブロック範囲を設定
- アクセス履歴を確認： DNS・プロキシログから該当ドメインへアクセスしたユーザーを特定し、関連メール内のリンクや流入経路を確認
- アカウント保護を実施： 認証情報を入力したユーザーがいる場合は、パスワード変更とアクティブセッションの無効化を実施し、不審なログイン、メールの自動転送ルール、アカウント設定の変更有無もあわせて確認
- 分析根拠を保存： ページ画面、完全なURL、収集時点をあわせて記録し、サイトの変更やブロック後でも当時の状況を確認できるように保存
FAQ
Q1. 不審なログインリンクを発見した際、Criminal IP ドメイン検索を活用するとどのような点で役立ちますか？
フィッシングサイトは、正規サービスのロゴやログイン画面を複製するため、見た目だけで安全性を判断することは困難です。Criminal IP ドメイン検索を活用することで、実際のリンク先ドメインを基準に、リスク評価や分析情報を確認できます。ページ内容とあわせて確認することで、認証情報を入力する前に、ブランドのなりすましや不審なサイトである可能性を判断する手掛かりになります。
Q2. Criminal IP ドメイン検索の分析結果を、組織のフィッシング対策にどのように活用できますか？
分析結果をもとに、不審なドメインをブロックすべきか検討し、組織のDNS・プロキシログと照合して、実際にアクセスしたユーザーを確認できます。認証情報を入力したユーザーがいる場合は、パスワード変更、セッションの無効化、ログイン履歴の確認などにつなげることができます。このように、ドメイン調査の結果を実際の対応措置へ結び付けるために活用できます。
結論
今回の事例では、Microsoftの見慣れたログイン画面が、公式ドメインではない別のホスティングアドレス上で提供されているなりすましの痕跡が確認されました。同一サイトで確認されたphpMyAdminのログイン画面は、ホスティング環境の管理用パスを把握する手掛かりにはなりますが、認証情報の保存方法や攻撃主体を裏付けるものではありません。
Criminal IP ドメイン検索を活用することで、ドメインのリスク評価、ページプレビュー、関連情報をあわせて確認し、不審なサイトを調査するための根拠を整理できます。さらに、これらの結果を組織内のアクセスログと照合し、ドメインのブロックやアカウント保護といった具体的な対応につなげることが重要です。
関連して、AI生成フィッシングサイトの拡大：Criminal IPで見るフィッシングインフラ分析の記事も参考にできます。
Criminal IP（criminalip.io/ja/register) に登録すると、すぐに脆弱資産の検知を開始できます。さらに、下記ボタンからデモをご依頼いただくことで、エンタープライズ環境において外部に露出した資産を対象としたCriminal IP の脅威インテリジェンス（TI）分析を直接ご確認いただけます。
本レポートは、サイバー脅威インテリジェンス検索エンジン Criminal IP のデータを基に作成されています。
今すぐCriminal IP の無料アカウントを作成すれば、本レポートで引用された検索結果を直接確認したり、さらに膨大な脅威インテリジェンスを自由に検索することができます。
データソース: Criminal IP(https://www.criminalip.io/ja), Cisa(https://www.cisa.gov/sites/default/files/publications/TLP-WHITE_AA20-301A_North_Korean_APT_Focus_Kimsuky.pdf), CyberSecurity Advisory(https://media.defense.gov/2023/Jun/01/2003234055/-1/-1/0/JOINT_CSA_DPRK_SOCIAL_ENGINEERING.PDF)
