APT37のsqgame[.]net侵害 — Windows·Androidマルチプラットフォームトロイの木馬化、延辺朝鮮族·脱北者を標的とした諜報作戦 BirdCall(zhuagou) Android新バージョン · Zoho WorkDrive C&C · 韓国公的認証書(.p12)·ハンコム文書(.hwp)同時ターゲティング · 中国→北朝鮮ツール系譜

文書情報

項目 内容
レポートID CTI-2026-0507-SCARCRUFT
分類 (Classification) TLP:GREEN — 対外共有可能
種別 (Type) 脅威アクター·サプライチェーン事件レポート
深刻度 (Severity) 🔴HIGH — 国家安全保障諜報作戦·人的標的への危害可能性
対象産業 (Target Sector) ゲーミングプラットフォーム · モバイルアプリ · 韓国人ディアスポラコミュニティ
標的地域 (Target Region) 中国延辺(延边)朝鮮族自治州 · 韓国·北朝鮮国境地域
脅威アクター (Threat Actor) ScarCruft / APT37 / Reaper (北朝鮮系諜報グループ、2012年〜)
マルウェア (Malware) BirdCall (Windows + Android新規) · RokRAT (一次ローダー)
内部コード名 zhuagou (抓狗) — 中国ハッカーコミュニティ隠語系
活動期間 2024年11月 〜 進行中 (公開時点: 2026-05-05 ESET)
一次ソース ESET Research, "A rigged game: ScarCruft compromises gaming platform in a supply-chain attack" (Filip Jurčacko, 2026-05-05)
作成日 2026年5月7日
発行 (Publisher) Dennis Kim — CYBER-THREAT-INTELLIGENCE-REPORT

目次

  1. 要約
  2. 事件概要
  3. 事件タイムライン
  4. 攻撃チェーン技術分析
  5. ScarCruft / APT37 脅威アクタープロファイル
  6. BirdCallバックドア — Android新バージョン分析
  7. 韓国特化型脅威 — .p12と.hwpの同時ターゲティング
  8. 侵害指標 (IoC)
  9. MITRE ATT&CK マッピング
  10. 対応推奨事項
  11. 戦略的示唆
  12. 参考文献
  13. 付録A. 用語集

1. 要約

2026年5月5日、スロバキアのセキュリティ企業ESETは、北朝鮮連携APTグループScarCruft(APT37)によるマルチプラットフォーム型サプライチェーン攻撃を公開した。標的は中国延辺(延边)朝鮮族自治州の住民を対象とするゲーミングプラットフォームsqgame[.]net であり、このプラットフォームが配布するWindowsデスクトップクライアントの更新パッケージとAndroidゲームAPKの両方がトロイの木馬化されていた。

この攻撃は2024年後半から少なくとも18ヶ月以上継続中であり、本レポート執筆時点でも一部の悪性APKがsqgame公式サイトに掲載されたままであることをESETが確認している。ESETは2025年12月にsqgame側へ通知したが、応答を得られていない。

本事件には決定的な論点が三つある。

第一に、ScarCruftがこれまでWindowsに限定して運用してきたBirdCallバックドアのAndroidポート(zhuagou)を新たに兵器化した点である。ESETは2024年10月頃にコンパイルされたv1.0から2025年6月頃のv2.0まで合計7バージョンを特定しており、これは単発のツールではなく、数ヶ月にわたって積極的に開発·運用されたモバイル諜報プラットフォームであることを意味する。第二に、標的ファイル拡張子リストに、韓国の公的/金融認証書フォーマットである.p12とハンコムオフィス文書フォーマットである.hwpが明示的に含まれている点である。これは本作戦が単純な諜報を超え、標的個人の韓国の金融資産·政府サービスへの直接アクセスまでを視野に入れた精密作戦であることを示唆する。第三に、バックドアの内部コード名zhuagou(抓狗)は通常の中国語辞書的意味ではなく、中国圏のハッカー·クラック·ゲームチートコミュニティで定着した隠語であり、2012年頃から情報収集·アカウント窃取·ユーザー追跡モジュールを指す標準用語である。これは本ツールの系譜が中国ハッカーグループに端を発し、北朝鮮ScarCruftが取得·アップグレードした流れ であることを強く示唆する(詳細は§6.1)。

⚠ 残酷な意味合い: 延辺は北朝鮮脱北者の主要な第一経由地である。本作戦は事実上、脱北者·脱北支援者·人権活動家の身元·所在地·連絡網を特定することに利用され得るものであり、これは単なるサイバーセキュリティ事案ではなく、人的安全(physical safety)に関わる脅威 として解釈されるべきである。

主要判断 (Key Judgments)

# 判断 信頼度
KJ-1 本作戦はScarCruftの既存TTPと一致し、北朝鮮偵察総局所属グループの諜報作戦と評価される。 高(High)
KJ-2 標的は延辺在住の朝鮮族、特に脱北者·脱北支援者·人権活動家である可能性が最も高い。 高
KJ-3 .p12·.hwpの同時ターゲティングは、標的の韓国金融·政府資産へのアクセスを明示的目標として設定している。 中(Medium)
KJ-4 BirdCallのAndroidポートは単発ツールではなく、数ヶ月単位で開発·運用されるScarCruftの新規モバイル諜報プラットフォームである。v1.0(2024.10)→v2.0(2025.06)の7バージョン発見。 高
KJ-5 sqgame側の応答欠如および一部悪性APKの残存は、本攻撃面が現在も活性であることを意味する。 高
KJ-6 韓国在住朝鮮族·脱北者·関連NGO·宗教団体従事者も、同一·類似キャンペーンの潜在標的群に含まれる。 中
KJ-7 内部コード名zhuagou(抓狗)のハッカー隠語分析を総合すると、本ツールの直系系譜は中国ハッカーコミュニティの情報収集モジュールに端を発し、ScarCruftが取得·アップグレードしたものと評価される。 中-高

2. 事件概要

2.1 標的プラットフォームプロファイル

項目 内容
プラットフォーム名 sqgame (正式ドメイン: sqgame[.]net、ダウンロードドメイン: sqgame.com[.]cn)
サービス性格 延辺地域の伝統的なカード·ボードゲーム (代表作: 延边红十 / Yanbian Red Ten、新画图 / New Drawing)
対応プラットフォーム Windows · Android · iOS (iOSではトロイの木馬化未発見)
ホスティングIP 39.106.249[.]68 — Hangzhou Alibaba Advertising Co., Ltd.
ホスティング変更時点 2024-06-01 (現IPへ)
利用者層 延辺朝鮮族自治州住民が主にプレイするゴーストップ(Go-Stop)およびローカルカードゲーム

2.2 攻撃チェーン要約

プラットフォーム 侵害経路 配信ペイロード
Windows sqgameデスクトップクライアントの更新パッケージ改ざん (xiazai.sqgame.com[.]cn/dating/20240429.zip) トロイの木馬化されたmono.dll → ダウンローダー →RokRAT→BirdCall
Android sqgameダウンロードページの2つのゲームAPKを再パッケージ·再署名(ybht.apk、sqybhs.apk) Android BirdCall (zhuagou) を直接搭載
iOS トロイの木馬化の痕跡なし。ScarCruftがAppleの審査回避コストを避けたと推定される。脱北者層におけるiPhone利用率も低い。 —

2.3 標的層(Victimology)

ESETの分析によれば、標的は以下の優先順位で評価される:

  1. 延辺在住朝鮮族 — sqgame自体が延辺の伝統ゲームに特化したプラットフォームであるため、第一標的群は自明である
  2. 脱北者 / 脱北支援者(brokers、NGO従事者、宗教活動家) — 延辺は北朝鮮脱北の第一経由地であり、北朝鮮政権の最優先追跡対象である
  3. 韓国在住朝鮮族の家族 — 標的端末で収集される連絡先·SMS·通話記録を通じて二次標的として識別される
  4. 韓国の政府·金融資産アクセス権者 — .p12·.hwp拡張子のターゲティングが示唆する別の標的群

3. 事件タイムライン

日時 イベント
2012年〜 ScarCruftグループの活動開始 (MITRE G0067登録)
2021年 BirdCall(Windows)が初めて発見される。ESETが非公開インテリジェンスでScarCruftに帰属付与。韓国セキュリティベンダー(S2W、AhnLab)も同時期に「RokRATの進化形(Matryoshka亜種)」として公開報告。
2024-06-01 sqgameサイトが現IP(39.106.249[.]68、Alibaba)へ移転 — 本キャンペーンのインフラ定着推定時点
2024年10月頃 Android BirdCallv1.0 コンパイル (ESET分析推定)
2024年11月頃 sqgame Windowsクライアント更新パッケージのmono.dllがトロイの木馬化された状態でESETテレメトリーに初めて観測される
2024-11-04 韓国の侵害サイトwww.lawwell.co[.]kr(SK Broadband)でシェルコードホスティング開始
2025年3月〜7月 追加の韓国サイト(1980food.co[.]kr、inodea[.]com、colorncopy.co[.]kr、sejonghaeun[.]com、cndsoft.co[.]kr)が順次シェルコード·設定·正規monoライブラリのホスティングに動員される
2025年6月頃 Android BirdCallv2.0 コンパイル (難読化強化)
2025-10 ESETがトロイの木馬化されたAndroid APK 2種をsqgameサイトで直接確認
2025-12 ESET、sqgame側に侵害通知。応答なし。
2026-05-05 ESET、WeLiveSecurityで公式分析を公開 (Filip Jurčacko)
2026-05-05時点 一部の悪性APKは依然としてsqgame公式サイトに掲載 されているとESETが確認
2026-05-07 本CTI分析を発行

📌 2024年6月→2024年10〜11月のギャップが意味するもの: インフラ移転からトロイの木馬化開始までに約4〜5ヶ月の事前作業期間が存在する。これはScarCruftがsqgame侵害後ただちに兵器化したのではなく、十分な事前偵察とツール適応(特にAndroidポートの新規開発)を経た精密作戦 であることを示唆する。

4. 攻撃チェーン技術分析

4.1 Windowsチェーン — 4段階多重ロード

段階 コンポーネント 動作
① 更新改ざん xiazai.sqgame.com[.]cn/dating/20240429.zip 正規のsqgameクライアントが合法的な更新チャネルを通じて自動ダウンロード
② トロイの木馬化mono.dll 95BDB94F6767A3CCE6D92363BBF5BC84B786BDB0 正規monoライブラリに追加コード·データのパッチ形態で組み込み。ダウンローダーを含む
③ ダウンローダー動作 (メモリ内) (a) 解析ツール·VM環境のチェック — 検出時は停止 (b) sqgameクライアントプロセスの探索 (c) 侵害された韓国サイトからシェルコードをダウンロード·実行 (d) クライアントプロセスを終了 (e)正規mono.dllへの自動置換 — 痕跡除去
④ RokRAT → BirdCall シェルコードペイロード RokRATバックドアがロードされた後、RokRATがさらに高度なBirdCallをダウンロード·インストール

🔑 注目すべきTTP — 自己浄化(self-cleanup)段階: ダウンローダーは作業完了後、トロイの木馬化されたmono.dllを正規バージョンへ自動置換することで、感染後の静的分析から侵害痕跡を完全に除去する。これはScarCruftが長期潜伏(long-dwell)作戦のために設計した運用セキュリティ(OPSEC)パターンである。

4.2 Androidチェーン — 再パッケージモデル

ScarCruftはsqgameのゲームソースコード自体にはアクセスできていないと評価される。代わりに既にビルドされた正規APKをデコンパイル·再パッケージ·再署名 する手法を用いた。

改ざん項目 内容
AndroidManifest.xml修正 エントリーポイントアクティビティを悪性コード(com.example.zhuagou.SplashScreenまたはcom.mob.util.MobSs)に変更
バックドアアクティビティ/サービス追加 悪性コード実行用の新規コンポーネントを登録
権限追加 連絡先·SMS·通話記録·外部ストレージ·録音·位置など広範な権限を要求
正規ゲームの実行維持 バックドア起動後、オリジナルのゲームアクティビティを呼び出し — ユーザーが異常を感知できないようにする

4.3 C&Cインフラ — 合法クラウドサービスの悪用

ScarCruftの一貫したTTPである合法クラウドサービスベースのC&C が本キャンペーンでも維持されている。Android BirdCallは以下の3つのクラウドプロバイダーをサポートするが、実際の運用はZoho WorkDriveに限定される。

クラウド 運用状況 用途
Zoho WorkDrive ✅ 活性運用 (12アカウント特定) コマンドポーリングおよびデータ持ち出し
pCloud バックドアコード内でサポート、実運用なし 予備チャネル
Yandex Disk バックドアコード内でサポート、実運用なし 予備チャネル

特定された12個のZohoアカウントは全て英語名による偽装パターン(tomasalfred37@、kalimaxim279@、smithbentley0617@等)を使用している。これは韓国·中国名使用時に分析者の即座の疑念を回避するための偽装と評価される。

4.4 侵害された韓国ウェブサイト — インフラホスティングリソース

ScarCruftがシェルコード、BirdCall設定イメージ(JPGオーバーレイエンコード)、正規monoライブラリのホスティングのために侵害した韓国側インフラは以下のとおりである。

ドメイン IP ホスティング事業者 用途
1980food.co[.]kr 211.239.117[.]117 Hostway IDC Android BirdCall設定イメージ
inodea[.]com 114.108.128[.]157 LG DACOM Android BirdCall設定イメージ
www.lawwell.co[.]kr 221.143.43[.]214 SK Broadband シェルコード + 正規monoライブラリ
colorncopy.co[.]kr / swr.co[.]kr 222.231.2[.]20 LG DACOM シェルコード
sejonghaeun[.]com 222.231.2[.]23 (IP Manager) 正規monoライブラリ
cndsoft.co[.]kr 222.231.2[.]41 (IP Manager) シェルコード

📍 韓国国内への示唆: 6つの韓国ドメインが単一キャンペーンのホスティングリソースとして動員されたという事実は、韓国国内中小事業者ウェブホスティング環境のセキュリティ衛生が北朝鮮APTの選好する運用資源 となっていることを再確認させる。KISA·科学技術情報通信部の中小事業者セキュリティ点検プログラムの実効性を再検討する必要がある。

5. ScarCruft / APT37 脅威アクタープロファイル

5.1 グループ概要

項目 内容
別名 ScarCruft · APT37 · Reaper · Group123 · Ricochet Chollima · Inky Squid
活動時期 2012年 〜 現在
推定帰属 北朝鮮偵察総局(RGB)傘下の諜報単位 (MITRE G0067)
主要標的 韓国の政府·国防·メディア·脱北者、日本·中東·東南アジア一部
主要動機 諜報(espionage) — 金融的動機は弱い (Lazarus等との差別点)
特徴的TTP 合法クラウドC&C、ハンコムオフィス(.hwp)エクスプロイト、Flashゼロデイ活用履歴、韓国語デコイ

5.2 BirdCall — ScarCruftのシグネチャバックドア

BirdCallは2021年にESETが非公開インテリジェンス報告を通じてScarCruftに帰属付与したWindows C++バックドアである。韓国セキュリティベンダーS2WとAhnLabは同時期にこれを「RokRATの進化形(Matryoshka亜種)」として公開報告している。すなわちBirdCallはScarCruftの中核バックドアファミリー(RokRAT系)内でも上位の高度化段階のツール である。

5.3 Lazarusとの区別

ScarCruftはしばしばLazarusと混同されるが、以下のような明確な差異がある:

区分 ScarCruft (APT37) Lazarus
母体機関 偵察総局諜報単位 偵察総局 + 労働党41号室など
主要動機 純粋諜報 諜報 +外貨獲得(金融犯罪)
標的資産 政府文書、人的情報、通信 政府 +金融機関·暗号通貨取引所·DeFi
サプライチェーン攻撃パターン 標的群オーダーメイドのSaaS侵害 (例: sqgame) 広範なNPM/3CXなどグローバル開発者ツール

本sqgame作戦はScarCruftのパターンに正確に一致する。

6. BirdCallバックドア — Android新バージョン分析

6.1 内部コード名 zhuagou(抓狗) — 単なる命名ではなくツール系譜の手がかり

ESETレポートが特定したAndroid BirdCallの内部コード名は中国語のzhuagou(抓狗)である。ESET原文ではこれを「犬を捕まえる(catching dogs)」として単純直訳しているが、本分析はこの名称が通常の中国語辞書的意味を超え、中国圏ハッカーコミュニティで定着した隠語 であることに注目すべきだとする。

6.1.1 中国ハッカーコミュニティにおけるzhuagou(抓狗)の意味

中国圏のクラック·マルウェア·ゲームチートコミュニティにおいて、「抓狗」は約2012年頃から以下を総称する標準モジュール名として使用されてきた:

  • アカウント/情報収集(account & credential harvesting) — ユーザー名·パスワード·セッショントークン·証明書ファイル
  • ユーザー追跡(user tracking) — 位置·行動·接続時間·連絡網マッピング
  • ログ収集(log harvesting) — キー入力·メッセージ·通話記録など
  • 検出およびフッキング(detection & hooking) — 標的プロセスにフックしてデータ抽出
  • 感染対象「捕獲」(target acquisition) — 標的の特定·隔離·制御権確保

すなわち「抓狗」は通常の中国語話者が直訳する「犬を捕まえる」ではなく、中国ハッカー圏で約14年近く通用してきた情報収集/追跡/アカウント窃取モジュールの標準命名慣行 である。ゲームチート·トロイの木馬·バンキングマルウェア分野で広く登場してきた由緒ある隠語である。

6.1.2 本ツールがzhuagouと命名された意味

ScarCruftが自らのAndroidバックドアをzhuagouと命名した事実は、単なる命名の好みの問題ではない。以下の三つの意味層を同時に含む。

層位 解釈
表層的(literal) 標的が「犬」に喩えられているという運用陣の認識の露出。延辺朝鮮族·脱北者を追跡·捕獲対象として客体化。
機能的(functional) バックドアが実際に遂行する機能(情報収集·アカウント窃取·追跡)が中国ハッカー圏のzhuagouモジュール群の標準機能と正確に一致。
系譜的(genealogical) ツールの直系の先祖が中国ハッカーコミュニティのzhuagouモジュール系列である可能性。すなわちScarCruftが無から創造したツールではなく、既存の中国圏情報収集モジュールのコード·アイデア·技法を取得·移植·強化した結果物である可能性がある。

📍 本分析の独自貢献: ESET原文はzhuagouを単純直訳(「catching dogs」)で処理している。しかし韓国·中国ハッカー圏動向を追跡してきた本CTIアーカイブの観点からは、この命名はツール系譜の決定的な手がかり である。ScarCruftが中国ハッカー圏に端を発するzhuagou系列モジュールを取得·アップグレードして自らの運用に組み入れたものと判断される。

6.1.3 中国→北朝鮮ツール取得の状況証拠

本仮説(KJ-7)を支える状況証拠は以下のとおり:

  • 公開されているWindows BirdCallのダンプ(SHA-1: B06110E0FEB7592872E380B7E3B8F77D80DD1108)は2024年7月15日に中国からVirusTotalにアップロード された。このダンプは本キャンペーンのBirdCallと非常に類似しており、中国圏のセキュリティ研究者または分析者による採取の痕跡を示唆する。
  • Androidポートのパッケージ名にcom.example.zhuagou.SplashScreenがそのまま使われている点は、一般的なパッケージ命名慣行(逆DNSドメイン使用)と相違する。com.exampleはAndroid開発チュートリアルのデフォルト例パッケージ名であり、既存コードベースを迅速に再パッケージした痕跡 として解釈可能である。
  • ScarCruftのツール取得履歴: 本グループは過去にもRokRAT(2017年Cisco Talosの初分析)など外部ツールを吸収·再加工した履歴を持つ。zhuagou系譜の取得はこのパターンの延長線上である。
  • 中国→北朝鮮へのサイバーツール移転の広域パターン: 中国ハッカー圏のゲームチート·バンキングトロイの木馬ツールが北朝鮮·イラン·ロシアのAPTに流れ込む流れは、複数のセキュリティベンダーが報告してきた現象である。zhuagou事例はこの流れの一例として解釈可能である。

⚠ 信頼度の限界: 本節の分析は語彙論的·状況的推論 であり、コード一致比較など一次的技術的証拠による断定的帰属付与ではない。信頼度は「中-高」と評価される(KJ-7)。より強い断定的帰属付与のためには、zhuagou系列の中国ハッカーツールのデコンパイル成果物と本BirdCall Androidのコード比較が追加で必要である。

6.2 バージョン履歴

バージョン 推定コンパイル時点 主要な変化
v1.0 2024年10月頃 初期配布
v1.3 / v1.5 2025年初〜中盤 コマンド追加、安定化
v2.0 2025年6月頃 難読化強化 (MITRE T1406適用)

合計7バージョンが約8ヶ月間で配布された — 平均5〜6週間に1度の更新ペースである。これは単発ツールではなく活性運用プラットフォームであることを意味し、OS更新、ウイルス対策ソフトの検出·更新サイクルに合わせた検出回避パターンを示している。特にAndroidのセキュリティパッチサイクルとかなり類似しているため、Androidセキュリティ回避に対する更新が継続的に行われている ものと考えられる。

6.3 中核機能

機能カテゴリー 詳細
個人情報収集 連絡先、SMSメッセージ、通話記録
ファイル収集 外部ストレージ全数のディレクトリリスティング → 標的拡張子ファイルのステージング
標的拡張子 .jpg .doc .docx .xls .xlsx .ppt .pptx .txt .hwp .pdf .m4a .p12
画面キャプチャ scrフラグ有効時に定期的にスクリーンショット取得
音声録音 recフラグ有効時にマイク周辺を録音 —現地時間19:00〜22:00に限定
遠隔更新 MP_SEND_FILEコマンドで新バージョンAPKを自動搭載
C&C通信 HTTPS via okhttp3、Zoho WorkDrive API

🔍 時間制限録音(19〜22時)の運用上の意味: 標的が家族や私的な夕食の集まりで一緒にいる可能性が最も高い夕方の時間帯に限定した音声収集は、単純な自動収集ではなく標的の家族·関連人物の把握を意図したヒューミント(HUMINT)補強用の設計 と評価される。これは本作戦の諜報的性格を再確認させる。

6.4 バックグラウンド永続化 — 無音MP3トリック

一部バージョンでESETが観測した特異な技法: バックグラウンドで無音MP3ファイルを無限ループ再生 することによりOSのバックグラウンドプロセス終了ポリシーを回避する。これは音声録音機能有効化時に安定したキャプチャを行うための設計であり、モバイル環境におけるバックグラウンド諜報活動の持続性を確保する比較的新しいTTPである。

6.5 コマンド — Windowsの部分集合

Android BirdCallはWindowsバージョンのコマンドの部分集合を実装している。Android未実装コマンドには以下が含まれる: シェル実行(MP_ACTION_SHELL)、HTTPポートスキャン(MP_ACTION_WEBSCAN)、ワードプロセッサーマクロ有効化(MP_ACTIONS_MORE)、ブラウザ資格情報窃取。ただし中核的諜報機能はすべて移植されている。

7. 韓国特化型脅威 — .p12と.hwpの同時ターゲティング

7.1 .p12 — 韓国の公的/金融認証書

PKCS#12コンテナフォーマットである.p12ファイルはグローバル標準であるが、韓国では非常に特殊な含意 を持つ。

.p12ファイルが保管する韓国の資産
共同認証書(旧·公認認証書) — 政府24、Hometax、インターネットバンキング、証券取引に必須
金融認証書 — 銀行界共同発行、パスワード+認証書結合認証
コードサイニング証明書 — ソフトウェア署名用
メールS/MIME証明書 — 政府·企業のセキュアメール

標的の端末から.p12ファイルが窃取され、それに対応するパスワードがキーロギング·画面キャプチャ·SMS認証番号の傍受によって併せて確保された場合、攻撃者は標的の韓国の銀行口座·証券口座·政府民願システムへ直接ログイン可能 な状態に達する。延辺朝鮮族の多くが韓国への出入国·送金·年金受領などのために韓国の認証書を保有しているという点で、これは決定的な資産である。

7.2 .hwp — ハンコムオフィス文書

.hwpはハンコムオフィスの標準フォーマットであり、韓国の政府·公共機関·一部の韓国企業の事実上の標準文書フォーマット である。ScarCruftは過去にも.hwpエクスプロイト(例: EPS処理上の脆弱性)を積極的に活用してきた履歴を持つ。

.hwpの標的が示唆する情報の種類
政府·公共機関発出の公式文書 (出入国、税務、福祉など)
韓国NGO·宗教団体発出の文書 (脱北者支援NGOの多くが.hwpを使用)
法律事務所·弁護士作成の法的資料
学校·教会の会報などコミュニティ文書

7.3 二つの拡張子同時ターゲティングの結合的意味

.p12と.hwpが同一バックドアの単一の標的拡張子リストに同時に含まれる ことは偶然ではない。この組み合わせは標的運用の二つの軸を同時に狙う:

軸 .hwp .p12
目的 標的の韓国における社会的活動マッピング (誰と何をやり取りしているか) 標的の韓国の資産への直接アクセス
価値 諜報価値(intel) 作戦価値(operational)
結合効果 標的の韓国における関係網の特定 → 認証書による直接侵入

📍 本レポート独自の価値判断: ESET原文は標的拡張子リストを単純列挙しているが、韓国セキュリティコミュニティの観点からはこの二つの拡張子の結合は単純な諜報作戦の副次効果ではなく、作戦設計の中核的支柱 として再解釈されるべきである。本レポートはこの解釈を本事件における最も重要な韓国側示唆として強調する。

7.4 .m4a — 音声録音ファイルの追加的意味

標的拡張子に.m4aが含まれている点も注目に値する。これは一般的な音楽ファイルフォーマットではなく、iPhone·一部Android端末の標準録音アプリが生成するフォーマットである。標的が自ら録音した会議·通話·メモのファイルを収集対象に含めるということは、バックドア自体のマイク録音(時間制限19〜22時)を補完して、標的が既に作成しておいた録音資産までをも狙う という意味である。

8. 侵害指標 (Indicators of Compromise)

8.1 ファイルハッシュ (SHA-1)

SHA-1 ファイル名 検出名 説明
01A33066FBC6253304C92760916329ABD50C3191 sqybhs.apk Android/Spy.Agent.EXM Android BirdCall v2.0 トロイの木馬化ゲーム
03E3ECE9F48CF4104AAFC535790CA2FB3C6B26CF ybht.apk Android/Spy.Agent.EGE Android BirdCall v1.3
2B81F78EC4C3F8D6CF8F677D141C5D13C35333AF sqybhs.apk Android/Spy.Agent.EGE Android BirdCall v1.5
59A9B9D47AE36411B277544F25AD2CC955D8DD2C ybht.apk Android/Spy.Agent.EGE Android BirdCall v1.0
7356D7868C81499FB4E720F7C9530E5763B4C1D0 sqybhs.apk Android/Spy.Agent.EGE Android BirdCall v1.0
FC0C691DB7E2D2BD3B0B4C1E24D18DF72168B7D9 sqybhs.apk Android/Spy.Agent.EGE Android BirdCall v1.5
95BDB94F6767A3CCE6D92363BBF5BC84B786BDB0 mono.dll Win32/TrojanDownloader.Agent.ILQ トロイの木馬化monoライブラリ
409C5ACAED587F62F7E23DA47F72C4D9EC3144D9 (ダウンローダー) Win32/TrojanDownloader.Agent.ILQ RokRATロード用ダウンローダー
B06110E0FEB7592872E380B7E3B8F77D80DD1108 (BirdCallダンプ) Win64/Agent.EGN 2024-07-15 中国発VTアップロード — 本キャンペーンに類似

8.2 ネットワークIoC

一次侵害インフラ (sqgame)

  • sqgame.com[.]cn / xiazai.sqgame.com[.]cn — 39.106.249[.]68 (Alibaba Hangzhou)
  • sqgame[.]net — 侵害された正式ドメイン

侵害された韓国ホスティング (ペイロード/設定の搭載)

  • 1980food.co[.]kr — 211.239.117[.]117 — Android BirdCall設定イメージ
  • inodea[.]com — 114.108.128[.]157 — Android BirdCall設定イメージ
  • www.lawwell.co[.]kr — 221.143.43[.]214 — シェルコード + 正規monoライブラリ
  • colorncopy.co[.]kr / swr.co[.]kr — 222.231.2[.]20 — シェルコード
  • sejonghaeun[.]com — 222.231.2[.]23 — 正規monoライブラリ
  • cndsoft.co[.]kr — 222.231.2[.]41 — シェルコード

Zoho WorkDriveアカウント (12個特定 — Android BirdCall C&C)

  • tomasalfred37@zohomail[.]com
  • kalimaxim279@zohomail[.]com
  • smithbentley0617@zohomail[.]com
  • michaellarrow19@zohomail[.]com
  • amandakurth94@zohomail[.]com
  • rexmedina89@zohomail[.]com
  • alishaross751@zohomail[.]com
  • jamesdeeds385@zohomail[.]com
  • joyceluke505@zohomail[.]com
  • marjoriemiller280@zohomail[.]com
  • teresadaniels200@zohomail[.]com
  • michaelgiesen62@zohomail[.]com

その他

  • ipinfo[.]io/json — 位置情報収集(合法サービス、ブロック時の正常利用への影響に注意)

8.3 振る舞いベースの検出ヒント

  • 韓国のIPから単一の時間帯(主に19〜22時)にZoho WorkDrive APIへの定期通信
  • Android端末でcom.example.zhuagou.*またはcom.mob.util.MobSsパッケージツリーの存在
  • 外部ストレージで.p12 .hwpファイルを同時に検索するアプリの動作
  • mono.dllが短期間(数分)内に改ざん→正規へ連続的に置換される痕跡

9. MITRE ATT&CK マッピング

9.1 Enterprise (Windowsチェーン)

Tactic Technique 適用
Resource Development T1584.004 (Compromise Infrastructure: Server) 韓国6サイト + sqgame侵害
Resource Development T1585.003 (Establish Accounts: Cloud Accounts) Zoho WorkDrive 12アカウント
Resource Development T1587.001 (Develop Capabilities: Malware) Android BirdCall新規開発
Resource Development T1608.001 (Stage Capabilities: Upload Malware) sqgameへトロイの木馬APK搭載
Initial Access T1195.002 (Supply Chain Compromise: Software) sqgame更新サーバー改ざん
Execution T1059.003 (Windows Command Shell) BirdCallシェルコマンド
Defense Evasion T1027.013 / T1140 (暗号化·復号化) mono.dllパッチシェルコード
Defense Evasion T1070.004 (Indicator Removal: File Deletion) 自己浄化 — 正規mono置換
Defense Evasion T1480.001 (Environmental Keying) コンピュータ別キーで搭載チェーンを暗号化
Defense Evasion T1497 (Sandbox Evasion) VM·解析ツールチェック
Credential Access T1555 (Credentials from Password Stores) ブラウザ資格情報
Discovery T1046 / T1082 / T1083 ネットワーク·システム·ファイル探索
Collection T1005 / T1056.001 / T1113 / T1115 / T1119 / T1125 / T1560 キーロギング·スクリーンショット·クリップボード·自動収集·ウェブカム·アーカイブ
C2 T1071.001 / T1090 / T1102.002 HTTP/プロキシ/双方向クラウド
Exfiltration T1020 / T1041 / T1567.002 自動·C2·クラウド持ち出し

9.2 Mobile (Androidチェーン)

Tactic Technique 適用
Initial Access T1474.003 (Compromise Software Supply Chain) sqgame APKトロイの木馬化
Defense Evasion T1406 (Obfuscated Files) v2.0難読化
Defense Evasion T1407 (Download New Code at Runtime) 自己更新メカニズム
Defense Evasion T1541 (Foreground Persistence) 無音MP3 + startForeground
Discovery T1420 / T1422 / T1426 ファイル·ネットワーク·システム探索
Collection T1429 (Audio Capture) マイク録音 (19〜22時)
Collection T1430 (Location Tracking) ipinfo.io活用
Collection T1513 (Screen Capture) スクリーンショット
Collection T1532 (Archive Collected Data) 圧縮·暗号化
Collection T1533 (Data from Local System) .p12 .hwp等の標的拡張子
Collection T1636.002 / .003 / .004 通話記録·連絡先·SMS
C2 T1437.001 / T1481.002 HTTPS / Zoho WorkDrive双方向
Exfiltration T1646 (Exfiltration Over C2 Channel) C&Cへの持ち出し

10. 対応推奨事項

10.1 P0 — 即時対応 (24時間以内)

対象 対応
sqgame利用者 (延辺·韓国) 端末を即時隔離。ESET·V3·Malwarebytesでフルスキャン実施。初期化と再設定を強く推奨。画面·通話·メッセージ記録の任意外部流出の可能性を仮定。
金融·政府認証書保有者でsqgameを利用している者 .p12ファイルを即時廃棄·再発行。すべての認証書パスワードを変更。インターネットバンキング·政府24·Hometaxの直近30日間の取引·ログイン履歴を確認。
国内ISP·CDN 本IoC §8.2のドメイン·IPをブロック。侵害された韓国サイトの運営者へ通報。
KISA / 金融保安院 侵害された韓国のホスティングサイト運営者への一斉通知および浄化点検勧告を発行。

10.2 P1 — 短期対応 (7日以内)

対象 対応
脱北者支援NGO 団体活動家の端末を一斉点検。Androidは可能な限り出所不明APKのインストール無効化およびGoogle Play Protectを強制。
ハンコムオフィス使用の政府·公共機関 外部からの.hwp添付ファイルの送信者検証手順を強化。マクロ無効化設定を点検。
国家情報院·国軍防諜司令部 ScarCruftキャンペーン活動性評価に本事件を反映。同一TTPによる韓国在住朝鮮族·脱北者標的拡張の可能性を評価。
モバイルセキュリティソリューションベンダー Android/Spy.Agent.EGE / EXMシグネチャを適用。標的拡張子の同時検索行為に対する振る舞い検出ルールを追加。

10.3 P2 — 構造的勧告 (30日以内)

領域 勧告
サプライチェーンの完全性 ゲーミング·ソーシャルアプリの更新チャネルにコード署名検証の義務化を検討。特にディアスポラコミュニティを対象とするアプリは別途モニタリングトラックの設定を。
クラウドC&C検出 Zoho WorkDrive·pCloud·Yandex Diskなど合法クラウドのAPI呼び出しの振る舞い分析ベースの検出ルールを確立。単純ブロックはユーザー影響が大きい。
人的安全(Human Safety) 脱北者·人権活動家を対象とするデジタル衛生教育プログラムの標準化(統一部·NGO連携)。端末分離運用(公的/私的)、メッセンジャー隔離、.p12を端末に保存しない原則。
CTI情報共有 本ESET報告のような一次資料の韓国語·日本語分析·再配布体制の強化。英文一次資料に依存する現構造の時差を縮小する。

11. 戦略的示唆

11.1 本事件と従来のScarCruft事件との相違点

次元 従来のScarCruft作戦 sqgame作戦
標的層 韓国の政府·国防·メディア 民間ディアスポラコミュニティ
プラットフォーム Windows中心 Windows + Android マルチプラットフォーム
サプライチェーン形態 スピアフィッシング中心 合法ゲーミングプラットフォーム制圧型サプライチェーン攻撃
ツール系譜 自社開発のRokRAT系 中国zhuagouモジュール取得·アップグレード(推定)
人道的リスク 情報窃取中心 人的身元·所在地の露出 → 物理的危害の可能性

11.2 人道的観点

本作戦の最も憂慮すべき側面は単なるデータ窃取ではない。延辺の朝鮮族·脱北者の端末から収集される連絡先·SMS·通話記録·位置·録音は、それ自体で北朝鮮政権が標的の家族·関係網·潜伏経路を特定するために利用可能な資料 である。

過去の事例を見ると、北朝鮮政権の脱北者追跡はデジタル偵察 → 人的資産による現地追跡 → 家族の人質化·強制送還 のパターンを示してきた。本BirdCallキャンペーンで収集される資料はこの追跡連鎖の最初の段階の資料源として十分に活用可能である。

11.3 国家安全保障上の示唆

本事件は以下を示唆する:

  1. 「韓国の外にいる韓国人」も韓国サイバーセキュリティの責任領域に含まれるべきである。 延辺·中央アジア·日本の韓国人ディアスポラは北朝鮮APTの直接標的であり、彼らへのサイバーセキュリティ支援は外交·統一政策のデジタル次元での議題に格上げされるべきである。

  2. モバイル諜報プラットフォーム時代の本格化。 Android BirdCallはScarCruftにとって初めての本格的なモバイル自社バックドアである。今後同一パターンのキャンペーンがLazarus·Kimsuky等の他の北朝鮮グループにも拡散する可能性が高い。

  3. 合法クラウドC&Cの定着。Zoho WorkDrive·pCloud·Yandex Disk等の合法SaaSのC&C活用はもはや新技術ではなく、標準的な運用パターン である。ブロック一辺倒の対応には明確な限界があり、振る舞いベース検出への移行が急務である。

  4. 国内中小事業者ホスティングのセキュリティ問題。 本キャンペーン1件だけでも6つの韓国ドメインが侵害ホスティングとして動員された。KISAが運営する中小事業者セキュリティ点検プログラムの実効性·到達性の再評価が必要である。

  5. サイバーツール取得·系譜追跡の重要性。zhuagou事例が示唆するように、北朝鮮APTは無からツールを創造するのではなく、既存の中国·ロシア圏ハッカーツールを取得·再加工するパターンを繰り返している。韓国CTI分析は単一キャンペーンのIoCを超え、ツール系譜(tool genealogy) を追跡する分析能力を備える必要がある。これは語彙論·ソースコード比較·運用陣のOPSECパターン等、多層的分析を要求する。

📍 最終判断: 本ScarCruft / sqgame作戦は国家背後のAPTがディアスポラコミュニティのインフラそのものを取得し、人的諜報資産化した代表的事例 である。韓国サイバーセキュリティ政策はこのパターンが延辺に限定されず、韓国在住朝鮮族·中央アジアの高麗人·在日·在米韓国人コミュニティのデジタルインフラ(コミュニティアプリ、動向メディア、宗教·NGOの自社ホスティング)へ拡大する可能性に先制的に備えなければならない。

12. 参考文献

12.1 一次資料

  1. ESET Research / Filip Jurčacko, "A rigged game: ScarCruft compromises gaming platform in a supply-chain attack", WeLiveSecurity, 2026-05-05. https://www.welivesecurity.com/en/eset-research/rigged-game-scarcruft-compromises-gaming-platform-supply-chain-attack/
  2. ESET GitHub IoC repository — eset/malware-ioc/tree/master/scarcruft. https://github.com/eset/malware-ioc/tree/master/scarcruft
  3. MITRE ATT&CK G0067 — APT37 (ScarCruft). https://attack.mitre.org/groups/G0067/

12.2 ScarCruft背景資料

  1. ESET, "Who's swimming in South Korean waters? Meet ScarCruft's Dolphin", 2022-11-30. https://www.welivesecurity.com/2022/11/30/whos-swimming-south-korean-waters-meet-scarcrufts-dolphin/
  2. S2W, "Matryoshka — Variant of RokRAT (APT37/ScarCruft)", 2021. https://medium.com/s2wblog/matryoshka-variant-of-rokrat-apt37-scarcruft-69774ea7bf48
  3. AhnLab Security Emergency Response Center (ASEC), RokRAT分析レポート, 2021. https://www.ahnlab.com/ko/contents/content-center/30164

12.3 関連サプライチェーン攻撃比較資料

  1. ESET, "Operation NightScout: Supply-chain attack targets online gaming in Asia", 2021-02-01. https://www.welivesecurity.com/2021/02/01/operation-nightscout-supply-chain-attack-online-gaming-asia/
  2. ESET, "Linux malware strengthens links between Lazarus and the 3CX supply-chain attack", 2023-04-20. https://www.welivesecurity.com/2023/04/20/linux-malware-strengthens-links-lazarus-3cx-supply-chain-attack/

12.4 本CTIアーカイブ関連レポート

  1. CTI-2026-0422-MCP — UNC1069 / Sapphire Sleet等の北朝鮮サプライチェーン汚染シナリオ
  2. CTI-2026-0420-VERCEL — サプライチェーン攻撃パターン比較 (ShinyHunters)
  3. CTI-2026-0320-CORUNA — モバイル·ゼロデイ脅威エコシステム

付録A. 用語集

用語 定義
ScarCruft (APT37) 2012年から活動中の北朝鮮系諜報APTグループ。Reaper、Group123、Inky Squid等多数の別名。
BirdCall ScarCruftのシグネチャバックドアファミリー。2021年ESETが発見。RokRATの進化形。2024年にAndroidポートが追加。
RokRAT ScarCruftの一次ロード用RAT。BirdCallのロード媒体としてしばしば用いられる。
zhuagou (抓狗) Android BirdCallの内部コード名。通常の中国語では「犬を捕まえる」。しかし中国ハッカー圏では2012年頃から情報収集·アカウント窃取·ユーザー追跡モジュールを指す標準的隠語として定着。本ツール系譜が中国ハッカーコミュニティに端を発する可能性を示唆する。
延辺(延边) 中国吉林省東部の朝鮮族自治州。北朝鮮との国境に接する。脱北の第一経由地。
サプライチェーン攻撃(Supply-Chain Attack) 最終的な標的ではなく、標的が信頼する第三者(供給者·プラットフォーム)を先に侵害して間接的にアクセスする攻撃。
トロイの木馬化(Trojanization) 正規のソフトウェアに悪性コードを挿入し、本来の機能を維持したままバックドア機能を付加する行為。
.p12 (PKCS#12) 証明書·秘密鍵保管用の標準コンテナフォーマット。韓国では共同認証書·金融認証書のフォーマットとして広範囲に利用されている。
.hwp ハンコムオフィスの標準文書フォーマット。韓国の政府·公共機関の事実上の標準。
フォアグラウンド永続化(Foreground Persistence) Androidでバックグラウンドプロセスの終了ポリシーを回避するために、startForeground APIや無音メディア再生などを用いる技法。
ツール系譜(Tool Genealogy) 悪性ツールのコード·アイデア·技法がどのグループに端を発し、どのような経路で別のグループに取得·移転されたのかを追跡するCTI分析の次元。

— 文書終わり (End of Report) —

© 2026 Dennis Kim · Cyber Threat Intelligence Division github.com/gameworkerkim/CYBER-THREAT-INTELLIGENCE-REPORT

本レポートはESET Researchの公開資料を一次として独立的に分析した日本語版であり、ESET·sqgame·関連組織の公式立場とは無関係である。

TLP:GREEN · CTI-2026-0507-SCARCRUFT · Published: 2026-05-07

「バックドアのコード名がzhuagouだった。それは単なる命名ではなく、標的が誰であるかについての運用陣の認識と、ツールがどこから来たかについての手がかりを同時に露呈した。」 — CTI-2026-0507