脅威動向 2026-09-02（水）配信

Guildma（Astaroth）マルウェア感染手法の解説

電子メール内のリンクからZIPアーカイブおよびWindowsショートカット（.lnk）をダウンロードさせ、代替データストリーム（ADS）経由でDLLファイルを取り込んでAutoItスクリプトおよびGuildmaマルウェアを常駐させる一連の攻撃手法です。

主要なTTP

地域や言語設定（ブラジルIP、ブラジルポルトガル語）を条件に不正ペイロードを配信するフィルタリングの実施

ZIPアーカイブに含まれるWindowsショートカット（.lnk）を介したリモートコンテンツの取得

取得したファイルをNTFSの代替データストリーム（ADS）としてTempディレクトリに保存

AutoItパッケージを利用したマルウェアのインストールと常駐化

対象となる組織・利用者

Windows端末を業務利用している組織全般。特に特定の言語圏や地域向けの業務メールを受け取る環境や、ショートカットファイルによるマルウェア配信に警戒が必要な組織。

推奨される防御アクション

メール内の不審なリンクやZIPファイル、ショートカットファイルの実行を避けるよう従業員への注意喚起を行う

エンドポイントセキュリティ（EDR等）を活用し、TEMPディレクトリ内や代替データストリーム（ADS）を利用した不審なファイルの生成を監視する

AutoItなどスクリプト実行環境の不審な動作や外部通信の有無を確認する

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。