ハッカーがNotepad++プラグインを悪用、Windowsシステムをひそかに感染させる手口

CERT-UAは、脅威クラスターUAC-0099に関する警告を発表しました。この攻撃者集団は、正規のNotepad++アプリケーションを悪用し、プラグインに偽装した悪意あるDLLを読み込ませる手法へとマルウェア配布方法を刷新しています。

2026年の夏半ば以降観測されているこのキャンペーンでは、新たに確認された2つのツール、LUNCHPOKEとBURNYBEARに加え、更新版のMATCHBOIL.V2ローダーが投入されています。

この活動は、攻撃者が信頼されたソフトウェアコンポーネントやアプリケーションのプラグイン読み込み機能を悪用し、初期段階で明らかに悪意あると分かる実行ファイルに頼ることなく、Windowsシステム上に永続的なアクセスを確立できることを示しています。

ハッカーによるNotepad++プラグインの悪用

この感染チェーンは通常、画像を添付したフィッシングメールから始まります。受信者がこの画像をクリックすると、ハイパーリンクが起動します。多くの場合URL短縮サービスを経由しており、被害者はファイルホスティングサービスへとリダイレクトされます。

そこから、「Attachments to the Order.zip」のようなZIPアーカイブが配布されます。このアーカイブの中には、二重拡張子のトリックを使ったVisual Basic Script（VBS）ファイルが入っています。ファイルは一見PDF文書（例:「Factory District.pdf」）のように見えますが、実際には長いスペースの連続によって本当の拡張子「.vbs」が隠されています。

実行されると、このVBSスクリプトはおとり用のPDFと、「Evernote.zip」という名前の別のアーカイブをダウンロードします。このアーカイブには、Notepad++バージョン8.8.3一式と正規のアプリケーションコンポーネント、そして「NppExport.dll」という悪意あるファイルを収めたプラグインディレクトリが含まれています。

さらに、ZIP内には「updater.rar」というパスワード保護されたアーカイブと、WinRARの実行ファイルも含まれています。スクリプトはNotepad++一式を、公開されているWindowsプロファイル配下のランダムな名前のディレクトリ（例: %PUBLIC%\Libs_<random>\Notepad\）に展開し、続けてnotepad++.exeを起動します。

Notepad++は通常の動作としてプラグインライブラリの読み込みをサポートしているため、正規のエディタを起動するだけで、攻撃者が管理するNppExport.dllが読み込まれてしまいます。CERT-UAはこのDLLをLUNCHPOKEとして分類しています。

マルウェアは%PUBLIC%\Libraries\配下に作業ディレクトリを作成し、パスワード保護されたアーカイブの中身を展開して、RemoteLibUpdater.exeとInitTest.dllを配置します。

その後、正規のWindowsタスクスケジューラユーティリティであるschtasks.exeをコピーし、Background.exeという紛らわしいファイル名に変更した上で、\W1n3r-U09oTy-Ap5\Updatesという名前のスケジュールタスクを作成します。

このスケジュールタスクは、3分ごとに「setup nodisplay」という引数付きでRemoteLibUpdater.exeを起動し、永続性を確保します。CERT-UAはこの実行ファイルをBURNYBEARと識別しており、これがInitTest.dllのペイロードを読み込みます。

注目すべきは、BURNYBEARが破壊的なフォールバック動作を備えている点です。想定されたコマンドライン引数なしで起動された場合、対象デバイスのメモリとCPUリソースを消費しようとします。

最後のDLLであるInitTest.dllは、MATCHBOILの更新版であり、MATCHBOIL.V2として追跡されています。このDLLは追加のスケジュールタスクを作成し、C2（コマンド&コントロール）設定を更新し、さらなるペイロードをダウンロードし、WinRARを使ってダウンロードしたコンポーネントを展開できます。

WinRARが利用できない場合、マルウェアはDropboxから取得することができ、これにより侵害後の攻撃者の運用に柔軟性を持たせています。

CERT-UAは、Notepad++におけるプラグインDLL読み込み動作は同製品の正規機能であり、必ずしも単独の脆弱性とは言えないと強調しています。

脆弱性評価サービス

CVE-2025-56383に関する議論は続いていますが、防御担当者は、公開ディレクトリから実行されるNotepad++の不審なインスタンス、予期しないプラグインDLL、異常なスケジュールタスク、およびRemoteLibUpdater.exeに関連する活動の検知を優先すべきです。

また、Notepad++ 8.9.7、WinRAR 7.23、7-Zip 26.02といった一般的なソフトウェア製品を更新するとともに、フィッシング対策の強化やアーカイブ内で配布されるスクリプトの監視を行うことも推奨されています。

侵害指標（IoC）

注: 本記事中のIPアドレスやドメインは、誤って名前解決やハイパーリンク化されることを防ぐため、意図的に無害化表記（例: [.]）にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。

警告: 20以上の政府系サイトが企業や市民にマルウェアを配布していました。 攻撃に関する詳細な調査レポートはこちら から確認し、自組織の露出状況をチェックしてください。