マルウェア

履歴書装うLNKファイル確認、企業標的のマルウェア配布に悪用

Mainichisecu 2026年 6月 19日

履歴書を装ったLNKファイルを利用する攻撃事例が確認されている。攻撃者はLNKファイルを履歴書文書のように偽装し、利用者に実行させることでマルウェアの配布を試みていた。調査によると、実行後に追加のコードやスクリプトを取得する仕組みが組み込まれていた。

また、攻撃では履歴書ファイルに加えて正規文書を添付し、受信者が不審に思わないよう構成されていた。分析では、ソーシャルエンジニアリングを利用した配布手法の一例として報告されている。

LNKファイルの実行後、システム上には追加のスクリプトやバッチファイルが生成される。これらのファイルは、C:\Users\Public\Videos\ 配下にランダムな名称で作成されることが確認されている。

さらに、生成されたスクリプトはタスクスケジューラへ登録され、一定間隔で実行される構成となっていた。調査では「office365」といった名称のタスクが確認されており、関連するスクリプトが定期的に実行される仕組みが用いられていた。

研究者によると、攻撃者は一般的なサービス名や業務関連名称を利用し、システム上の構成要素に紛れ込ませる手法を採用していた。今回の事例は、LNKファイルを利用したマルウェア配布および永続化手法の一例として分析されている。

追加ペイロード配布とDLLサイドローディングを確認

調査によると、VBScriptから実行されたバッチファイルは外部サーバーと通信し、追加のファイルを取得する仕組みを備えていた。取得されたデータはBase64形式でエンコードされており、その後復号処理を経てPowerShellスクリプトとして保存・実行される構成が確認されている。

分析では、これらのコンポーネントが追加のマルウェア機能を実行するために利用されていたことが報告されている。また、一部のサンプルでは外部通信や遠隔操作機能に関連する挙動も確認された。

さらに、攻撃者はDLLサイドローディング技法を利用していた。調査では、ProximityUxHost.exeなどの正規プログラムを利用し、ProximityCommon.DLLを読み込ませる手法が確認されている。このDLLは、Xctdoorと呼ばれるバックドアの実行に関連していたと報告されている。

研究者によると、この手法では正規プロセスを利用してコードを実行するため、通常のアプリケーション動作に類似した形で処理が進行する。今回の事例では、LNKファイルによる初期侵入、スクリプトの生成、追加ペイロードの取得、DLLサイドローディングによるバックドア実行までの一連の攻撃チェーンが確認された。