Notepad++の偽プラグインを悪用したサイバー攻撃、ウクライナが警告　ロシア系グループが新種マルウェアを配信

要点

• ウクライナのCERT-UAは、人気テキストエディタ「Notepad++」の偽プラグインを悪用してWindowsシステムを侵害する攻撃について警告した。

• この攻撃は2022年中頃から活動するロシア寄りの脅威グループ「UAC-0099」によるもので、フィッシングメールを発端とする。

• 攻撃プロセスでは正規のNotepad++に悪意あるプラグインDLLを組み合わせ、新種マルウェア「MATCHBOIL.V2」を潜伏させる。

• 偽のプログラムが正しく実行されなかった場合、パソコンのメモリやCPUのリソースを意図的に枯渇させる仕組みも備わっている。

• 一方で米国政府などは、別のロシア系アクター「Laundry Bear」がWebメールサービス「Zimbra」の脆弱性を悪用し、メールを表示するだけで感染する攻撃を展開していると注意を促した。

• ウクライナの国家コンピュータ緊急対応チーム（CERT-UA）は2026年7月24日、広く利用されているテキストエディタ「Notepad++」のプラグインになりすました悪意あるプログラムを使用し、Windows搭載のシステムを侵害する新たなサイバー攻撃キャンペーンについて警告を発した。この攻撃は「UAC-0099」と呼ばれるロシア寄りの脅威グループによるものとされ、フィッシングメールを起点にさまざまな偽装ファイルを組み合わせて実行される。さらに同時期には、別のロシア系グループによるWebメールサービスを標的としたスパイ活動も明らかになっており、東欧から欧米諸国への脅威の拡大が懸念されている。

• Notepad++の正規機能を逆手に取る巧妙な攻撃手法

• 今回の攻撃を主導したとされるUAC-0099は、遅くとも2022年中頃から活動が確認されているサイバースパイグループである。過去には圧縮ソフト「WinRAR」の脆弱性を突いてマルウェアを送り込んだほか、フィッシングメールを用いて複数のマルウェアを配信してきた前科がある。

• 今回のキャンペーンも、フィッシングメールに添付された画像をクリックさせることから始まる。クリックすると、短縮URLを経由して「EasySend.co」などのファイル共有サービスに誘導され、ZIP形式の圧縮ファイルがダウンロードされる。

• このZIPファイルの中身はPDF文書に見せかけた「VBScript（プログラム記述用のスクリプト言語）」である。被害者がこれを開くと、警戒をそらすためのおとりのPDFが表示される一方で、裏では「Evernote.zip」という別のファイルが静かにダウンロードされる仕組みになっている。

• この「Evernote.zip」には、巧妙な隠蔽工作が施されている。中身を解凍すると、正規のNotepad++（バージョン8.8.3）の完全なコピーとともに、悪意あるDLL（実行に必要なプログラム部品）ファイルである「NppExport.dll」、パスワードで保護されたファイル「updater.rar」、および正規のWinRARの実行ファイルが現れる。

• VBScriptはこれらのファイルを展開した後にNotepad++を起動する。Notepad++が起動すると、自動的に偽のプラグインである「NppExport.dll」（開発コードネーム：LUNCHPOKE）が読み込まれる。このDLLがさらに「updater.rar」を解凍し、「RemoteLibUpdater.exe」と「InitTest.dll」というプログラムを特定のフォルダーに配置。3分ごとに「RemoteLibUpdater.exe」を実行するタスクをWindowsのスケジュールに登録し、システム内に永続的に居座る設定を施す。

• リソースを食い潰す新種マルウェア「MATCHBOIL.V2」

• 実行された「RemoteLibUpdater.exe」（開発コードネーム：BURNYBEAR）は、「InitTest.dll」を読み込むローダーとして機能する。このDLLの実体は、過去の攻撃にも使われたC#言語ベースのマルウェア「MATCHBOIL」を改良した新種「MATCHBOIL.V2」だという。

• 特筆すべきは、このマルウェアが備える自己防衛あるいは嫌がらせのロジックだ。CERT-UAの報告によると、もし「RemoteLibUpdater.exe」が特定の引数を指定されずに誤って直接起動された場合、BURNYBEARは感染したパソコンのメモリ（RAM）とCPUのリソースを限界まで使い果たす動作を開始し、システムをフリーズ状態に追い込む設計になっている。

• CERT-UAはこうした攻撃への対策として、組織内の管理担当者に対し、WinRARやファイル解凍ソフトの7-Zip、そしてNotepad++を常に最新のバージョンにアップデートするよう推奨している。

• Webメールを狙う別のロシア系グループ「Laundry Bear」の動き

• Notepad++を標的とした攻撃の発表と並行して、米国政府などは別のロシア系アクター「Laundry Bear」（別名：CL-STA-1114、TA488など）によるフィッシング攻撃についても警戒を呼びかけた。彼らは2025年7月以降、欧米の政府機関や民間企業のWebメールサーバー「Zimbra」を標的にしている。

• この攻撃の特徴は、脆弱性（CVE-2025-66376）を悪用した「ハーフクリック」と呼ばれる極めて回避が難しい手法だ。従来のフィッシングのようにリンクのクリックや添付ファイルの実行を必要とせず、被害者が脆弱なWebメール上で悪意あるメールを表示（プレビュー）しただけで、メール内容や機密データを盗み出すJavaScript「ZimReaper」が実行されてしまう。

• 米国政府は、このグループが金銭的な要求を行っていないことなどから、ロシア政府の支援を受けたスパイ活動である可能性が極めて高いと分析している。また、ロシア系のサイバー脅威グループは、まずウクライナのユーザーを最初の標的および「新技術の実験台」として広範囲に攻撃し、その後に米国やNATO（北大西洋条約機構）加盟国へと攻撃範囲を広げる傾向があるとも指摘した。

• さらに、セキュリティ企業Proofpointも、ロシアに関連する脅威アクター「TA458」が同様のハーフクリックエクスプロイトを用いてWebメールからデータを窃取する活動を行っていると報告しており、電子メールを起点としたスパイ活動の活発化が裏付けられている。