「.lnk」という拡張子のファイルを見たことがある方は多いのではないでしょうか。これはWindowsのショートカットファイルですが、近年、このLNKファイルを悪用してマルウェアに感染させる攻撃が増加しています。

実際、IPA（情報処理推進機構）はEmotetの感染手口としてLNKファイルの悪用に注意喚起を行っており、Qbot・IcedIDといった攻撃キャンペーンでも同様の手口が確認されています。

この記事では、LNKファイルの基本的な仕組みから、なぜセキュリティリスクになるのか、実際の攻撃事例、そして企業や個人が取るべき対策までを解説します。

LNKファイルとは

LNKファイルとは、Windowsのショートカット機能を実現するファイルで、拡張子は「.lnk」です。特定のファイル、フォルダ、プログラム、またはウェブページへのリンクを提供する役割を持ちます。

LNKファイルは、元のファイルやリソースそのもののコピーではなく、それらへの参照情報を保持しているに過ぎません。これにより、本体のファイルを複製することなく、デスクトップやスタートメニューから素早くアクセスできるようになっています。

LNKファイルの仕組み

保存されている情報

LNKファイルはバイナリ形式で保存されており、主に以下のような情報を含んでいます。

• ターゲットパス（絶対パスや相対パス）
• ファイルの属性（読み取り専用、隠しファイルなど）
• 起動時のウィンドウ設定（通常表示、最大化、最小化）
• 作成日時・最終更新日時
• 作成者情報やアイコン情報

ユーザーがLNKファイルをダブルクリックすると、これらの情報をもとにリンク先のファイルやアプリケーションが起動します。

なぜ拡張子が表示されないのか

LNKファイルの大きな特徴として、Windowsの「既知のファイルの拡張子を隠す」という標準設定が有効な場合、ファイル名の末尾に「.lnk」という拡張子が表示されません。

さらに、LNKファイルにはアイコン情報を自由に設定できるため、Word文書やPDFなど、他のファイル形式のアイコンに偽装することも可能です。この結果、ユーザーは「report.docx」のような文書ファイルだと思い込んでクリックしてしまい、実際には「report.docx.lnk」という偽装されたショートカットファイルだった、という事態が起こり得ます。この仕様こそが、LNKファイルが攻撃に悪用されやすい最大の理由です。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

LNKファイルの一般的な用途

LNKファイル本来の用途は、以下のような便利な機能です。

ショートカットとしての利用

ファイルやフォルダへのショートカットを作成し、頻繁にアクセスするリソースに素早くアクセスできるようにします。

アプリケーションの起動

特定のオプションやパラメータを指定してアプリケーションを起動する際に使用されます。

デスクトップやスタートメニューの整理

デスクトップやスタートメニューにショートカットを配置することで、システムを整理しながら効率的に操作できます。

LNKファイルがセキュリティリスクになる理由

アイコンや見た目を偽装できる

前述の通り、拡張子が隠れることに加え、アイコンも自由に設定できるため、一見無害な文書ファイルのように見せかけることができます。

PowerShellやcmd.exeを呼び出すコマンドを埋め込める

LNKファイルの「リンク先」には、単なるファイルパスだけでなく、cmd.exeやPowerShellを起動するコマンドを埋め込むことができます。これにより、LNKファイルをクリックしただけで、外部からマルウェアをダウンロードして実行する「ダウンローダー」として機能させることが可能になってしまいます。

メール添付でも拡張子が隠れて見分けが付きにくい

LNKファイルは単体でメールに添付されるだけでなく、パスワード付きZIPファイルやISOファイルの中に隠されて配布されるケースもあります。この場合、ユーザーはZIPやISOを解凍した先に何が入っているかを十分確認しないまま開いてしまいがちです。

LNKファイルを悪用した代表的な攻撃事例

Emotet（2022年）

IPAは2022年4月、LNKファイルを悪用してEmotetへ感染させる手口を確認したと注意喚起を行いました。ショートカットファイルがメールに直接添付されている場合と、パスワード付きZIPファイルの中に格納されている場合があり、ダブルクリックで開くとEmotetに感染する仕組みでした。

Emotet（エモテット）とは？感染経路や被害事例・対策を徹底解説

2019.11.12

近年、企業や組織を狙ったサイバー攻撃が増加する中、特に注目されているのがEmotet（エモテット）と呼ばれるマルウェアです。エモテットは、メールの添付ファイルやリンクを通じて感染を広げ、機密情報の窃取や他のマルウェアのダウンロードを行います

Qbot・IcedID（2022年）

Qbotの攻撃グループは、LNKファイル・正規プログラムのコピー・悪意あるDLLファイルなどを含むISOファイルを配信する手口を用いました。LNKファイル以外のファイルはユーザーから隠された状態になっており、LNKファイルの実行をきっかけにDLLハイジャックの脆弱性を突いてマルウェアが実行される仕組みでした。IcedIDでも同様に、LNKファイルが隠しディレクトリ内のバッチファイルを呼び出し、マルウェア本体を展開・実行する手口が確認されています。

Stuxnet（2010年）

LNKファイルを悪用した攻撃として広く知られているのが、2010年に発見されたStuxnetです。特定の産業インフラ施設を標的とし、LNKファイルを介して感染を拡大させました。

スタクスネット（Stuxnet）とは？仕組みから対策方法まで徹底解説

2020.1.15

DDoS攻撃や標的型攻撃メールなど、サイバー攻撃は非常に巧妙化していますが、国家間のサイバー戦争の幕開けとも呼ばれる「スタクスネット（Stuxnet）」をご存知でしょうか。イランの核施設を狙い撃ちにした巧妙なワームであり、スタクスネットを利

LNKファイルの悪用に対する防御策

不審なLNKファイルを開かない・添付メールを確認する

出所不明のLNKファイルは開かず、信頼できる送信元からのファイルのみを開くようにします。メールに添付されたLNKファイルは、送信元や文面に不自然な点がないか必ず確認してください。

メールサーバでLNKファイル付き添付をブロックする

IPAも推奨している対策として、業務上LNKファイルをメールでやり取りする必要がない場合は、メールサーバ側で以下の設定を検討します。

• ショートカットファイル（拡張子.LNK）が添付されたメールをブロックする
• ZIPファイルに格納されたファイルの拡張子をチェックし、LNKファイルを含むZIP添付メールをブロックする

拡張子を表示する設定に変更する

Windowsの設定で「既知のファイルの拡張子を隠す」を無効にしておくことで、ファイル名に「.lnk」が表示されるようになり、偽装に気付きやすくなります。

セキュリティソフト・グループポリシーによる制限

最新のアンチウイルスソフトでリアルタイムスキャンを有効にしておくことに加え、企業環境ではグループポリシーによってLNKファイルの動作を制限し、不要なショートカットの実行を防ぐ設定も有効です。

LNKファイルの安全性を確認する方法

ファイルプロパティを確認する

LNKファイルを右クリックして「プロパティ」を選択すると、リンク先のパスや起動設定を確認できます。見慣れないコマンドやURLが記載されていないか確認しましょう。

セキュリティツールでスキャンする

不審なLNKファイルは、実行する前にアンチウイルスソフトでスキャンし、潜在的な脅威がないか確認することをおすすめします。

まとめ

LNKファイルは、Windows環境で便利に使えるショートカット機能を提供する重要なツールです。一方で、拡張子やアイコンを偽装できるという仕様上の特徴が悪用され、EmotetやQbot、IcedIDといった実際のマルウェア感染事例につながっています。

不審なLNKファイルを開かない、拡張子を表示する設定にする、メールサーバでの添付ブロックを検討するなど、基本的な対策を組み合わせることで、LNKファイルを悪用した攻撃のリスクを大幅に低減できます。