CERT-UAは、脅威クラスターUAC-0099の戦術に重大な変化があったことを公表しました。正規のNotepad++ 8.8.3実行ファイルを悪用してマルウェアをサイドロードする新たな感染チェーンに加え、アップグレード版のMATCHBOIL.V2ローダー、そしてLUNCHPOKEおよびBURNYBEARという2つの新しいツールの存在が明らかになりました。
2026年の初夏から確認されているこのキャンペーンは、CERT-UAが以前ウクライナの防衛セクターを狙ったフィッシング攻撃に関連付けていた同グループの従来のMATCHBOILおよびMATCHWOKツールセットから、大きく進化した手口といえます。
攻撃はまず、画像を埋め込んだフィッシングメールから始まります。この画像をクリックすると、短縮URLを経由してファイルホスティングサービスへリダイレクトされ、「Additions to the Order.zip」のようなZIPアーカイブがダウンロードされる仕組みです。
アーカイブの中身は、二重拡張子を用いたVBSスクリプトです。ファイル名の末尾にある「.vbs」の前に大量の空白を挿入することで、一見「.pdf」で終わっているように見せかけています。これは、以前のUAC-0099キャンペーンで使われた二重アーカイブの手口にも見られた、古典的なソーシャルエンジニアリング技法です。
スクリプトが実行されると、おとり用のPDFファイルと、もう一つのアーカイブ「Evernote.zip」がドロップされます。このアーカイブには、正規かつ完全なNotepad++ 8.8.3のインストールパッケージに、不正なプラグインが同梱されています。
VBSスクリプトは「Evernote.zip」を%PUBLIC%\Libs_配下のランダムなディレクトリに展開し、正規の「notepad++.exe」を起動します。すると、プラグインフォルダ内に配置された「NppExport.dll」という名の悪意あるDLLが自動的に読み込まれます。
これが可能になるのは、Notepad++のプラグイン読み込みの仕組みが、プラグインディレクトリに置かれたDLLをすべて正規のものとして扱うためです。開発元は、これは脆弱性ではなく意図された設計であると主張しており、CVE-2025-56383をめぐる議論が続いています。なお、CERT-UAはこのCVE番号を検索の利便性のために参照しているにすぎず、この手法を正式にこの脆弱性に帰属させているわけではありません。
これは、更新インフラ(WinGUp)が乗っ取られた従来のNotepad++サプライチェーン侵害とは性質が異なります。従来の手口ではローカルでのプラグイン悪用は不要でした。
LUNCHPOKEとして追跡されている「NppExport.dll」は、パスワード保護されたアーカイブ「updater.rar」を展開します。このアーカイブには「RemoteLibUpdater.exe」と「InitTest.dll」が含まれており、さらに正規の「schtasks.exe」バイナリをコピーして、スケジュールタスクのランチャーであることを偽装します。
このマルウェアは3分ごとに実行されるスケジュールタスクを作成し、永続性を確保します。BURNYBEARと特定された「RemoteLibUpdater.exe」は最終的なペイロードの読み込みを担いますが、適切な引数なしで起動された場合は代わりにCPUとメモリを消費するリソース枯渇動作を引き起こします。これはおそらく、解析回避またはおとりのための仕組みとみられます。
「InitTest.dll」は、更新版のMATCHBOIL.V2です。C#ベースだった従来のMATCHBOILローダーが持っていたスケジュールタスクの作成、C2設定の更新、ペイロードのダウンロードといった中核機能を維持しつつ、WinRARを使った展開機能や、ホスト上にWinRARが存在しない場合にDropboxから取得する機能を新たに追加しています。
オリジナルのMATCHBOILは、UAC-0099が使用していた旧型マルウェアLONEPAGEの後継として設計されたもので、C2通信にはハードウェア由来の識別子を含むHTTPヘッダーを利用していました。
CERT-UAは管理者に対し、一般的なソフトウェアを常に最新の状態に保つよう呼びかけています。2026年7月21日時点の最新バージョンとして、WinRAR 7.23、7-Zip 26.02、そしてNotepad++ 8.9.7を挙げており、これは今回悪用された8.8.3ビルドよりメジャーバージョンで3つ先行しています。
Notepad++は、2026年に入ってからLotus Blossomグループによるものとされる別のサプライチェーン侵害を含め、国家support型の攻撃者に狙われてきた経緯があります。こうした背景を踏まえると、広く使われているユーティリティの旧バージョンは、能動的な初期侵入経路として扱うべきだといえるでしょう。
SOC調査の死角を減らし、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を抑えましょう。
翻訳元: https://cyberpress.org/hackers-weaponize-notepad-8-8-3/
