カンボジアを狙う「Spark RAT」攻撃が判明、脆弱な正規ドライバ悪用でセキュリティ製品を無力化

要点

• カンボジアの組織や個人を標的に、Go言語製のオープンソース型マルウェア「Spark RAT」を感染させるサイバー攻撃が確認された。

• 攻撃者はOPSWAT製ドライバの脆弱性（CVE-2026-36425）を悪用し、セキュリティ機能を強制終了させる「BYOVD」手法を用いていた。

• 攻撃メールには政府通知や公衆衛生文書などを偽装したおとりが使われ、署名済みプログラムの悪用や画像へのコード隠蔽など多段階の回避策が講じられていた。

• Microsoft DefenderやHuorongなどの防御製品を停止させた上で、最終的に端末の完全な遠隔操作を可能にする。

• サイバーセキュリティ企業Acronisの脅威調査部門（TRU）は2026年8月27日、カンボジアの組織や個人を標的としたサイバー攻撃キャンペーンを確認したと発表した。攻撃者はオープンソースのリモートアクセス型トロイの木馬（RAT：感染端末を遠隔から操作する不正プログラム）「Spark RAT」を展開するため、正規ドライバの脆弱性を悪用してセキュリティソフトを無力化する高度な多段階攻撃を行っているという。

多彩なおとり文書を用いた標的型フィッシング

Acronisの研究者Darrel Virtusio氏とSubhajeet Singha氏の分析によると、攻撃は標的型フィッシングメールを通じて配布される圧縮アーカイブから始まる。

アーカイブ内にはInno Setup形式のインストーラが含まれており、受信者を騙して実行させるためにカンボジア政府の公式通知、公衆衛生の発表、歯科検診記録、不動産書類、プロモーション案内など多岐にわたるおとり文書が用いられていた。

Acronisは2026年6月下旬から8月上旬にかけて複数の関連する不正なファイルを特定したが、攻撃が現在も継続しているかは不明だとしている。

多段階の検知回避とSYSTEM権限による実行分岐

攻撃チェーンには、検知を回避して確実に侵入を進めるための巧妙な仕組みが組み込まれている。

インストーラが起動すると、署名済みのTencent製プログラムを悪用した「DLLサイドローディング」（正規プログラムに悪意あるライブラリを誤認させて読み込ませる手法）が実行される。ローダーはスリープ処理の遅延を測定して解析環境（サンドボックス：安全に動作を検証する仮想環境）を検知し、経過時間が想定外の場合は即座に処理を終了する。また、中国製セキュリティソフト「Huorong Internet Security」（HipsTray.exe）のプロセスを検知した場合は、その権限の弱体化を試みる。

続いて、アーカイブ内のPNG画像から暗号化されたシェルコード（メモリ上で直接実行される機械語コード）を復号し、第2段階の処理を実行する。ここで自身が最上位のSYSTEM権限で動作しているかを確認し、権限の状態に応じて以下の2つの実行モードを選択する。

• 注入モード（Inject Mode）：すでにSYSTEM権限を持つ場合、永続化の設定を省いて別のPNG画像から復号したコードをWindows正規プロセス「vssvc.exe」に注入する。プロセスの稼働を監視し、停止や再起動が起きた場合は自動で再注入を行う。
• 設定モード（Setup Mode）：SYSTEM権限がない場合、Qihoo 360関連プロセスの非存在を確認した上でWindowsサービスによる永続化を設定し、注入モードと同様に「vssvc.exe」へコードを注入する。

脆弱な正規ドライバ（BYOVD）による防御の無力化

注入されたペイロードは、Windowsの監視機能であるAMSI（マルウェア対策スキャンインターフェース）やETW（イベントトレーシング）の改ざんを試み、タスクスケジューラによる永続化を設定する。

その後、既知の脆弱性を持つ正規ドライバを意図的に導入して悪用する「BYOVD（Bring Your Own Vulnerable Driver）」手法を実行する。OPSWATの「AppRemover」に含まれる正規ドライバ「ardrv.sys」（CVE-2026-36425の脆弱性を持つ）をインストールし、カーネルレベルの特権を用いてMicrosoft Defender、Huorong Internet Security、Tencent PC Managerなどのセキュリティプロセスを強制終了させる。

さらに、3つ目のPNG画像から復号したペイロードにより、ハードコードされたセキュリティプロセスをユーザーモード（一般的な実行権限）からも終了させる。なお、攻撃コード内には過去に悪用例があるTrueSightやZemana Anti-Malware SDKのドライバへの参照も含まれていた。

画像に隠された「Spark RAT」の起動

セキュリティ製品の無効化と並行して、4つ目のPNG画像から抽出・復号されたシェルコードがWindowsの正規プロセス「ctfmon.exe」に注入される。

これにより、最終ペイロードである「Spark RAT」が実行される。Spark RATはGo言語で開発されGitHub上で公開されているクロスプラットフォーム対応のオープンソースRATであり、攻撃者に対して感染端末の完全な遠隔操作権限を付与する。