偽のLastPassインストーラーでMicrosoft署名済みドライバーを悪用、セキュリティソフトを停止させる攻撃が判明

要点

• GitHub上で配布されていた偽の「LastPass Authenticator」により、セキュリティ機能を停止させてパスワードを窃取する攻撃が確認された。

• 攻撃にはMicrosoftが正規に署名したカーネルドライバーが悪用され、ウイルス対策ソフトなど145のプロセスが強制終了された。

• セキュリティ停止後、20種類以上のブラウザや暗号資産ウォレット、各種アプリの認証情報が窃取された。

• 悪用されたドライバーは既存の脆弱なドライバーを改名したもので、VirusTotalでの検知やMicrosoftのブロックリストをすり抜けていた。

• LastPass自体のシステムやデータ保管庫への影響はなく、同社の名称が悪用されたものとされる。

• LastPassとDelphos Labsの研究者は、GitHub上で配布されていた偽の認証アプリインストーラーを通じ、セキュリティ製品を強制停止させた上で情報を盗み出す攻撃を確認したと2026年9月17日に発表した。この攻撃では、Microsoftの正規署名を受けたWindowsカーネルドライバーが悪用され、ウイルス対策ソフトやEDR（Endpoint Detection and Response：端末の挙動を監視・対処するセキュリティ製品）の検知を回避して広範な情報が窃取されていた。なお、LastPass自体のシステムやサービス、顧客データへの侵入は確認されておらず、名称が悪用された形だという。

偽GitHubページによる誘導とDLLサイドローディング

攻撃の誘導口となったのは、GitHub上に作成された偽ページ（github.com/LastPass-Authenticator）である。「LastPass Authenticator download」などの検索結果で上位に表示され、本物の製品ページに似せて作られていた。正規のLastPass Authenticatorは公式サイト（lastpass.com）や公式アプリストアでのみ提供されており、GitHubでの配布は行われていない。

偽ページのダウンロードボタンを押すと、複数のページを経由して攻撃者のサーバーからZIPファイルがダウンロードされる。ファイルサイズは127.9MB〜148MBあり、容量制限のあるセキュリティスキャンを回避するための無駄なデータ（パディング）が含まれていた。

ZIP内には、Microsoftの正規デバッグツール「vsdbg.exe」と悪意ある「vsdbg.dll」が同梱されていた。偽インストーラーを実行すると、正規ファイルと同じフォルダにある不正なDLLを読み込む「DLLサイドローディング」が発生する。ローダーは3種類の手法で管理者権限への昇格を試み、最終的に最高権限であるSYSTEM権限を取得してカーネルドライバーをサービスとしてインストールする。

署名済みドライバーによるセキュリティの無力化

インストールされるドライバーは、研究チームによって「Alinubx.sys」と命名されている。カーネルドライバーとは、OSの中核であるカーネル空間で動作し、システム全体に高い特権を持つプログラムである。

このドライバーは、セキュリティソフトが動作するユーザー空間よりも下層のカーネル層で動作する。内部に保持する145種類のセキュリティ関連プロセスリストと照合し、稼働中の対象プロセスを強制終了させる。カーネル層からの停止であるため、ユーザーモードで動作するセキュリティ製品側でこの終了処理を検知・阻止することはできない。

このように正当な署名を持つ脆弱なドライバーを持ち込んで悪用する手口は「BYOVD（Bring Your Own Vulnerable Driver）」と呼ばれる。今回のドライバーは2023年3月に「Microsoft Windows Hardware Compatibility Publisher」によって正規署名されていた。研究チームは「Microsoftの認証は信頼されたパイプラインを通った証明にすぎず、安全性を保証するものではない」と指摘している。なお、ドライバーにはファイル隠蔽や通信リダイレクト機能も備わっていたが、設定ファイルが欠落していたため今回はプロセスの強制終了のみが作動した。

認証情報の窃取とブラウザ保護の回避

セキュリティ製品が無力化された後、情報窃取マルウェアが活動を開始する。攻撃対象となったのは、24種類以上のブラウザに保存されたパスワードをはじめ、暗号資産（仮想通貨）ウォレット、Discord、Steam、Telegramのセッション情報、Windows資格情報マネージャーのデータなど多岐にわたる。「password」「seed」「recovery」といったファイル名を持つデータも収集対象となった。

Google ChromeやMicrosoft Edgeに導入されている不正復号防止機能「App-Bound Encryption（アプリと暗号化鍵を結びつける保護技術）」に対しては、ブラウザプロセスにコードを注入し、ブラウザ自身の正規サービスに復号させる手法で保護を突破していた。盗まれたデータはZIP形式に圧縮され、攻撃者のサーバーへ送信された。

改名による検知回避とブロックリスト登録の経緯

悪用されたドライバーの実体は、中国のディスク暗号化ソフト「CnCrypt」のドライバー「CcProtect.sys」を改名したものだった。このドライバーは、悪用可能なドライバーをまとめた「LOLDrivers」カタログにプロセス強制終了ツールとして掲載済みで、実証コードも公開されていた。

製品名やバージョンはそのままにファイル名と説明文のみが変更されており、この改変によってVirusTotalでの検知数が激減した。8月調査時点で元ドライバーは70エンジン中7件が検知していたのに対し、改名版は検知数ゼロとなっていた。

また、Windows 11で標準有効化されている「脆弱なドライバーのブロックリスト」にも登録されていなかった。Delphos Labsが8月20日に確認したところ、改名版だけでなく元ドライバー自体が未登録だった。ブロックリストはハッシュ値で照合するため、改名や再コンパイルでハッシュ値が変わると検知できない。9月17日の報告時点でもAlinubx.sysは未登録のままだった。

Delphos Labsは8月19日にMicrosoftへ報告したが、Microsoftは自社製コンポーネントではないため脆弱性の定義に該当しないと回答し、ブロックリスト審査用の別窓口を案内した。Delphos Labsは同日中にその窓口へ再提出を行ったとしている。