ウクライナCERTは、正規のNotepad++アプリケーションと、プラグインに偽装してシステムに永続化する悪意あるユーティリティ「LunchPoke」を含むアーカイブを配布する攻撃を発見しました。
この攻撃キャンペーンは、UAC-0099として追跡されている脅威クラスターによるものとされています。同クラスターは主にウクライナの組織を標的としており、これまでもAPT44（別名Sandworm）による攻撃への初期アクセス提供に関与してきたとされています。
今回、攻撃者はこの人気ソフトウェアに影響する脆弱性やサプライチェーン侵害を悪用しているわけではありません。
Notepad++の攻撃チェーン
CERT-UAの観測によると、UAC-0099は最近手口を変え、PDF文書に偽装したVBSスクリプトを含むZIPアーカイブを配布するようになりました。実行されると、このPDFはEvernote.zipという名前の別の圧縮ファイルを取得します。
この2つ目のアーカイブには、正規のエディタであるNotepad++バージョン8.8.3の完全なコピー、悪意あるプラグイン（NppExport.dll）、パスワード保護されたアーカイブ（updater.rar）、そして正規のWinRAR実行ファイルが含まれています。
VBSスクリプトは、ランダムに名付けられたディレクトリにこのパッケージをインストールし、Notepad++を起動したうえで、アプリケーション本来のプラグイン読み込み機構を通じて悪意あるNppExport.dllを読み込ませます。
CERT-UAの説明によると、このDLLがLunchPokeであり、Windows上でスケジュールタスクを作成し、RemoteLibUpdater.exeやInitTest.dllを含むRARファイルの内容を展開するツールです。
このRARファイル内の実行ファイルはBurnyBearと呼ばれ、MatchBoil V2というマルウェアローダーであるDLLファイルを読み込むローダーです。
BurnyBearには、RemoteLibUpdater.exeの起動に失敗した場合のフォールバック機構も備わっており、その際はホストのRAMとCPUを標的としたリソース枯渇攻撃を発動します。
この後者の処理では、さらに別のスケジュールタスクを作成し、設定とコマンド＆コントロール（C2）アドレスを更新したうえで、WinRARを使ってダウンロードしたプログラムを展開します。
CERT-UAは、今回観測された攻撃で配布された最終的なペイロードや、このキャンペーンの目的、標的となった組織については言及していません。
研究者らはCVE-2025-56383にも触れています。これはNotepad++ v8.8.3（今回の攻撃で使用されたのと同一のバージョン）に存在するDLLハイジャックの脆弱性ですが、Notepad++開発チームはこの問題について異論を唱えており、プラグインの読み込みは標準的な機能であると主張しているとのことです。
CERT-UAは、既存製品の既知の脆弱性が悪用されステルス攻撃を許すことを防ぐため、システム管理者に対しNotepad++をバージョン8.9.7へ、7-Zipをバージョン26.02へ、WinRARをバージョン7.23へそれぞれ更新するよう勧告しています。
攻撃者に先んじて、あらゆる防御層をテストする
セキュリティチームが検知に成功する攻撃はわずか54%で、アラートが上がるのはたった14%にとどまります。残りは環境内を検知されないまま通過していきます。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーションによってSIEMやEDRのルールをテストし、脅威が検知をすり抜けるのを防ぐ方法を紹介しています。
