北朝鮮Lazarus、Windowsのゼロデイ脆弱性を悪用して防衛企業を攻撃　新型バックドア「Troy」を展開

要点

• 北朝鮮のサイバー攻撃グループ「Lazarus」が、Microsoft Windowsのゼロデイ脆弱性を悪用し、防衛および航空宇宙企業を標的に攻撃を行っていたことが判明した。
• 悪用された脆弱性はWinSock補助機能ドライバーの特権昇格欠陥（CVE-2026-68820）で、マイクロソフトの2026年8月月例更新で修正されている。
• 攻撃者はLinkedInなどで偽の求人を持ちかける「Operation Dream Job」の手口を使い、フランス、ドイツ、ブラジル、インドなどの企業関係者に接触していた。
• 侵入後には17種類の遠隔操作コマンドを持つ新型バックドア「Troy」や、耐量子暗号アルゴリズム「ML-KEM」を活用するツール群が展開されていた。

---

サイバーセキュリティ企業Check Point Researchの調査により、北朝鮮政府が支援する脅威アクター「Lazarus Group（ラザルス・グループ）」が、Microsoft Windowsに存在した未修正の脆弱性（ゼロデイ脆弱性）を悪用したサイバー攻撃を実行していたことが明らかになった。

攻撃の主な標的となったのは、フランス、ドイツ、ブラジル、インドに拠点を置く防衛・航空宇宙関連企業である。攻撃者は最高権限であるSYSTEM権限を奪取し、これまで確認されていなかった新型のバックドアを被害端末に配置していたという。

偽の求人情報で技術者を誘い込む「Operation Dream Job」

今回の攻撃は、Lazarusが長年にわたり展開しているサイバー諜報・ソーシャルエンジニアリング活動「Operation Dream Job」の一環として確認された。

攻撃者はビジネス向けSNSであるLinkedInなどを通じてリクルーターを装い、Lockheed MartinやEnveilといった実在する大手企業からの魅力的な求人案件を装って標的の技術者に接触する。信頼関係を築いたうえで悪意あるファイルを送りつけ、機密情報の窃取や端末の遠隔制御を狙うのが一連の手口だ。

悪用されたWindowsドライバーの脆弱性「CVE-2026-68820」

今回のキャンペーンで悪用されたのは、Windowsのネットワーク通信を担うWinSock補助機能ドライバー「AFD.sys（Ancillary Function Driver for WinSock）」に存在する特権昇格の脆弱性「CVE-2026-68820」（CVSSスコア: 7.0）である。

この脆弱性は、マイクロソフトが2026年8月に公開した月例セキュリティ更新プログラム（Patch Tuesday）ですでに修正されているが、Lazarusは修正前のゼロデイ状態で悪用し、一般ユーザー権限からシステム最高権限への昇格を行っていた。

2系統の巧妙な感染フロー

調査では、被害者を侵害に至らせるために2つの異なる感染経路が並行して使用されていたことが確認されている。

1. DLLサイドローディングによる「MISTPEN」の展開

第1の経路では、被害者に暗号化されたアーカイブをダウンロードさせ、正規のプログラム実行時に悪意あるライブラリを読み込ませる「DLLサイドローディング」の手法が用いられた。「libmupdf.dll」と呼ばれる悪意あるファイルが偽の求人票を表示してユーザーの警戒を解く裏で、メモリ上に軽量ダウンローダー「MISTPEN」をダウンロードして実行する。

MISTPENは、Microsoft Graph APIやOneDriveを悪用して攻撃者のインフラと通信を行い、以下の4つのモジュールを順次読み込む。

• GetInfoPlugin（Release_GetInfoPlugin_x64.dll）: 感染端末のプロファイリングを実施し、収集した情報を単一のワイド文字列として外部送信する。
• PvPlugin（Release_PvPlugin_x64.dll）: 端末の偵察データや実行中プロセスの詳細情報を収集する。
• OneScreenCapture（OneScreenCapture64.dll）: 接続されているすべてのモニターを含むデスクトップ画面を撮影し、JPEG画像として送信する。
• LPEローダー: 端末情報を収集するとともに、耐量子暗号鍵カプセル化アルゴリズムである「ML-KEM」を用いて新たな暗号鍵を生成する。この鍵をハンドシェイク処理に用いて、カーネルモードルートキット「FudModule」を復号・実行する。

最終的に「AFD.sys」のエクスプロイトを実行して権限を昇格させた後、遠隔アクセスを提供するマルウェア「ForestTiger（別名 ScoringMathTea）」を展開する仕組みとなっていた。

2. 改ざんされたPDF閲覧ソフトと新型バックドア「Troy」

第2の経路では、Enveil社になりすました偽サイトから、改ざんされたPDFリーダー「SecurityPDF」をインストールさせる手法が採られた。

SecurityPDFは起動後、開かれたPDFファイル内に特定の文字列マーカー（This document is encrypted with sumatrapdf reader!!!!!!!!!!!!）が含まれているかを監視する。該当するマーカーを検知すると、内部に埋め込まれたペイロードを復号し、新型バックドア「Troy」を直接メモリ上に読み込む。

このTroyはDLL形式のインプラントであり、遠隔操作者からの17種類のコマンドに対応している。具体的には、ファイルの探索・一覧取得、ファイルの送受信、データの圧縮と持ち出し、対話型シェルの操作、プロセスの強制終了、メモリ内へのDLLインジェクション、設定情報の更新などを実行できる強力な機能を備えている。

過去戦術の改良と防衛の回避

トロイの木馬化されたPDF閲覧ソフトを利用する手口は、Lazarusが2022年以来「Operation Dream Job」で繰り返し採用してきた実績のある手法である。

また、攻撃チェーンの内部で使われたカーネルモードルートキット「FudModule」も、少なくとも2022年以降に継続して改良されてきたツールであり、感染端末に導入されているセキュリティソフトウェアから攻撃ツールを隠蔽する役割を果たしていた。今回の事例でも、最新の暗号技術やゼロデイ脆弱性を組み合わせることで、既存のセキュリティ対策を回避しながら完全な端末制御を試みていたことが示されている。