ZIP や VHDX に入ったショートカットが mshta で自分自身を実行する：日本の地方政治家を狙った APT-C-60
政治資金疑惑の「情報提供」を装うメールに LNK ファイルが添付され、正規の mshta.exe が LNK 自身を HTML アプリとして読み込んで、中のスクリプトからダウンローダー RadialAgent につなぐ。日本の地方政治家の端末で 2026 年 4 月に見つかり、ESET が APT-C-60 の活動と分析した。
手口（ESET の 10 月 28 日付 APT 活動報告）
- 最初のメールは現職議員の裏金・利権疑惑を件名に使い、ZIP の中に LNK を入れた。10 日後、同じ組織の別の 2 人にも別の送信元から「告発」メールが届き、RAR 内の仮想ディスク（VHDX）に LNK を入れていたとみられる。
- LNK には難読化した JavaScript と、jsDelivr の URL を読む script 要素が入っている。
mshta.exeの引数は LNK 自身のパスだけ。 - RadialAgent はボリュームシリアル番号・ユーザー名・端末名を StatCounter の固定 URL に送り、GitHub と GitLab から次の段階を取ってくる。正規サービスばかりを使うので、通信先のブロックリストでは止めにくい。
防御
- mshta を止める: 業務で HTA を使わないなら、AppLocker / WDAC や ASR ルールで
mshta.exeの実行をブロックする。少なくともmshta.exeの引数が.lnkや一時フォルダー内のファイルになっている起動を検知する。 - 添付の制限: ZIP / RAR 内の
.lnk、.vhd/.vhdx/.isoの添付をメールゲートウェイで隔離する。仮想ディスクはマウントすると Mark of the Web が外れやすい。 - 関心を引く題材に注意: 政治・不祥事の「内部告発」「情報提供」はよく使われる餌。政治家の事務所や関係団体など、狙われやすい組織では周知しておく。
- 通信の検知: 業務端末から StatCounter や GitHub / GitLab の raw ファイルへのスクリプトによる取得、
mshta.exeを親に持つ通信を監視する。