Windows Defender修復ドライバの悪用手法やイラン組織による大規模サイバー窃盗を報告――セキュリティ各社と米当局の最新動向

要点

• セキュリティ企業のCheck Pointが、Microsoft Defenderの署名済み修復ドライバを悪用してEDR製品を回避する手法を実証した。

• 米司法省は、世界各地の大学や企業から知的財産などを盗み出したとして、イランのサイバー組織「Mabna Institute」のメンバー17人を起訴し、国務省が最大1000万ドルの懸賞金を発表した。

• Acronisの調査により、バンキング型マルウェア「Grandoreiro」が正規アプリを悪用したDLLサイドローディングによって中南米を中心に感染を拡大させていることが判明した。

• セキュリティ企業や米司法当局は2026年8月、信頼された正規コンポーネントの悪用手口や国家主導の大規模なサイバー攻撃に関する新たな調査結果および起訴内容を相次いで公表した。Check PointによるMicrosoft Defender関連ドライバの悪用検証をはじめ、米司法省によるイラン拠点のサイバー組織に対する起訴、Acronisが報告したマルウェア「Grandoreiro」の新たな手口など、多岐にわたる脅威の実態が明らかになっている。

Microsoft Defenderの修復ドライバを悪用したEDR回避手法

Check Pointの研究チームは、Microsoft Defenderに備わる起動時駆除ドライバ「BTR.sys（Defender Boot-Time Removal driver）」をリバースエンジニアリングし、これを汎用的なカーネル操作エンジンとして転用可能であることを実証した。

この手法では、脆弱性のある古い正規ドライバを意図的に持ち込む従来の手法「BYOVD（Bring Your Own Vulnerable Driver）」を用いることなく、OS起動からユーザーモード初期化までの間に存在する移行時間（ゴールデンウィンドウ）を突くことで、エンドポイント検出・応答（EDR：端末の挙動を常時監視して不審な動きを検知・対処するセキュリティ製品）の監視を回避できるという。

同社のセキュリティ研究者であるJiří Vinopal氏は、「BTR.sysはマイクロソフトによる正当な署名付きコンポーネントであるため、署名に基づく検知やブロックは機能しない」と指摘している。さらに、同研究で作成された「BTR_CLI」などの悪用ツールは、Windows Defenderの正規の修復プロセスの動作痕跡を意図的に模倣するように設計されていると説明されている。

米司法省、大学や企業から31TB超を窃取したイラン組織の17人を起訴

米司法省（DoJ）は、2013年頃から世界規模で不正アクセスを繰り返していたイラン拠点の組織「Mabna Institute」のメンバー17人を起訴したことを発表した。あわせて米国務省は、被告のうち5人または関連組織に関する情報提供に対し、最大1000万ドルの懸賞金を提供することを明らかにしている。

発表によると、Mabna Instituteはイランのイスラム革命防衛隊（IRGC）のためにサイバー攻撃を実行していたとされている。創設者のGholamreza Rafatnejad氏とEhsan Mohammadi氏を中心に、2013年頃から少なくとも2017年12月にかけて活動が展開されていた。

標的となった組織の内訳は以下の通りである。

• 大学：米国内144校、米国外178校
• 民間企業：米国内42社以上、米国外11社以上
• 政府機関：米国の連邦および州政府機関5機関以上
• 非政府組織（NGO）：2団体以上

同組織は、世界中の大学教授10万人以上のアカウントを標的とし、そのうち約8000件のアカウントへの侵入に成功した。侵入を通じて31TB以上の学術データや知的財産を窃取したほか、民間企業、政府機関、NGOの従業員のメールアカウントも標的にしていたとされる。盗み出されたデータや認証情報はイラン政府のために利用されただけでなく、「Megapaper.ir」および「Gigapaper.ir」という2つのWebサイトを通じて外部に販売されていた。

Check Pointのエクスポージャー管理部門リサーチチームリードを務めるShmuel Gihon氏は本件について、国家主導のスパイ活動が民間委託化（民営化）された事例であると分析している。同氏は、IRGCが単独の所有者ではなく大口顧客として位置づけられ、受託企業が盗んだ研究成果を有償で広く販売していた構図を指摘した。また、大学は貴重な知的財産を保持している一方で認証管理が甘く、公開性を重視する文化があるためフィッシング攻撃の格好の標的になったと説明している。

正規アプリを悪用するマルウェア「Grandoreiro」の感染拡大

セキュリティ企業のAcronisは、バンキング型マルウェア「Grandoreiro」の新たな攻撃キャンペーンを確認したと報告した。この攻撃では、正規の重複ファイル検索ツール「Duplicate Files Finder（DFF）」を悪用し、DLLサイドローディング（正規プログラムが外部ライブラリを読み込む仕組みを悪用し、不正なプログラムを実行させる手法）により悪意のあるコードを実行させる。

Acronisのテレメトリデータによると、今回の感染活動はラテンアメリカ地域に集中しており、特にメキシコ、スペイン、ペルー、アルゼンチンで大半の感染が確認されているという。

初期段階で投下される検体には、高度な解析妨害機能が組み込まれている。具体的には、仮想マシンやサンドボックス（安全に隔離された動作確認環境）の検知、プロセス一覧の照合による解析ツールの検出、動作環境のプロファイリングなどが含まれており、自動解析システムによる検知を事前に回避する仕組みを備えているとAcronisは説明している。