AMD製ドライバの脆弱性を悪用してセキュリティ監視を回避する情報窃取マルウェア「Lunex」の脅威が判明

要点

• セキュリティ企業Ontinueなどの調査により、AMDの正規ドライバを悪用して検知を逃れる情報窃取マルウェア「Lunex」の攻撃手法が明らかになった。

• 本マルウェアはMaaS（サービスとしてのマルウェア）として流通しており、感染端末上で動作するファイルは「Psychedelic Stealer」とも呼ばれている。

• 脆弱性を含む正規ドライバを持ち込む「BYOVD」攻撃を通じて権限を昇格させ、セキュリティ監視ツールを無効化した上でブラウザ情報などを窃取する。

• 侵入経路には改ざんサイト上の偽認証画面（ClickFix）が使われ、7種類のChromium系ブラウザや複数の暗号資産ウォレットが標的となっている。

• セキュリティ企業Ontinueなどの調査により、脆弱性を持つ正規のAMD製ドライバを悪用してセキュリティ監視を停止させ、ブラウザの認証情報などを盗み出す情報窃取マルウェア「Lunex」の攻撃実態が明らかになった。同マルウェアは複数のサイバー犯罪グループに提供されるプラットフォーム型で運用されており、主にウクライナ語話者を標的とした感染活動が確認されている。情報窃取型マルウェアの展開前段階としてカーネルドライバの脆弱性を突く手口が使われるのは珍しいケースだという。

MaaSプラットフォーム「Lunex」と「Psychedelic」の関係

Ontinueの報告によると、今回の攻撃で使われているマルウェアは「Lunex」と呼ばれるMaaS（Malware-as-a-service：マルウェアや攻撃基盤を有償で提供するサービス形態）プラットフォームの一部である。

被害者の端末上で実際に動作するマルウェアのファイル名は「Psychedelic」と名付けられているが、その背後にあるプラットフォーム自体がLunexであり、複数の犯罪組織に販売されていることから「LunexStealer」とも呼称されている。Ontinueの脅威リサーチャーであるRhys Downing氏は、Psychedelicが端末上で実行されるファイル名であり、Lunexはその基盤となるプラットフォームを指すと説明している。

改ざんサイトと偽認証を起点とする4段階の感染経路

今回の攻撃活動は、大きく分けて4つの段階で構成される攻撃チェーン（一連の感染手順）を採用している。

最初の侵入起点となるのは、侵害された正規のウクライナ向けWebサイトである。攻撃者は育毛クリニック、精密模型メーカー、専門書店、心理施設、工具販売店、自動車販売店といった正規Webサイトに侵入し、不正なiframe要素を埋め込んでいた。訪問者にはCloudflareのボット検証画面に偽装した「ClickFix」（偽のエラーや認証画面を表示してユーザーに手動操作を実行させる手口）の偽CAPTCHA画面が表示される。

この画面を通じて偽のMSIインストーラーがダウンロードされ、実行されると「LunexLoader」と呼ばれるローダーが起動する。LunexLoaderは、Windowsの「CMSTPLUA」COMオブジェクトを利用してUAC（User Account Control：管理者権限が必要な操作時に許可を求めるWindowsの機能）をバイパスする処理を実行する。

脆弱なAMDドライバを悪用する「BYOVD」による防御無効化

本攻撃で特に注目されているのが、「BYOVD（Bring Your Own Vulnerable Driver：攻撃者が意図的に脆弱な正規ドライバを導入して悪用する手法）」の採用である。情報窃取型マルウェアの配備前段階としてBYOVDが使われる事例は極めて稀とされる。

Lunexは、AMD Radeon Softwareに含まれるカーネルモードドライバ「PDFWKRNL.sys」に存在する既知の脆弱性（CVE-2023-20598）を悪用する。攻撃者はこのドライバを利用してシステム上で特権昇格を行い、セキュリティ監視関連のプロセスを稼働状態に見せかけたまま無力化する。

Downing氏は、マルウェアが被害端末に届く前の段階で正規の脆弱なドライバを用いてセキュリティツールを停止させていると指摘している。監視ツールによる防御が機能しなくなった状態を作り出した後、最終段階として情報窃取マルウェアが端末内に送り込まれる。

ブラウザや暗号資産ウォレットの窃取と永続化の手法

防御機能が無力化された後、展開されたLunexStealerは指定されたC2（Command and Control：感染端末の遠隔操作やデータ収集を行う司令サーバー）のIPアドレス（193.178.159[.]128）とHTTPで通信を開始し、包括的な情報窃取を実行する。

窃取の対象となっているのは、Google Chrome、Microsoft Edge、Brave、Yandex Browser、Opera、Opera GX、Vivaldiの計7種類のChromium系ブラウザである。これらのブラウザに保存された認証情報やセッションクッキーが標的となる。

さらに、デスクトップ向けの暗号資産ウォレット5種（Bitcoin Core、Litecoin、Exodus、Atomic Wallet、Electrum）およびブラウザ拡張機能ウォレット4種（MetaMask、MetaMask Legacy、OKX Wallet、SafePal Wallet）を列挙し、関連データを外部へ流出させる。

窃取活動に加えて、感染端末上での永続化（再起動後もマルウェアが動作し続けるようにシステムに潜伏する仕組み）も確立される。レジストリのRunキーへの登録や、「psychedelicloveUtils」という名称の隠しタスクのスケジュール登録が行われるほか、ブラウザ内にはPowerShellベースのNative Messaging Host（ブラウザ拡張機能とデスクトップアプリケーションの間で通信を行う仕組み）が登録され、攻撃者が被害者のファイルシステムへリモートアクセスし続ける経路が作られるという。

観測の経緯とC2サーバーの存在

Lunexに関する記録は2026年6月にまで遡る。当時、セキュリティ組織BlueTeamCoolTeamのLuke Wilkinson氏が、米国、フィンランド、ドイツ、オランダ、ウクライナに分散する6つのアクティブなLunex Stealer用C2管理パネルを確認していた。

また、ウクライナの正規サイトを改ざんしてClickFixを仕掛ける手口とPsychedelic Stealerの存在については、Arctic Wolf Labsによっても報告が行われていた。今回のOntinueによる解析によって、それらの攻撃が一連のMaaSプラットフォーム「Lunex」に連なるものであることや、AMDドライバを用いたBYOVD攻撃の詳細が浮き彫りとなった形だ。