北朝鮮とつながりを持つLazarusグループが、偽の求人オファーやトロイの木馬化されたPDFソフトウェア、そしてWindowsのゼロデイ脆弱性を組み合わせ、主に防衛産業を標的とした攻撃を仕掛けていることが、Check Pointの研究者による調査で明らかになりました。
この活動は、攻撃者が採用担当者になりすまし、著名企業の求人情報で標的を誘い出す長期キャンペーン「Operation Dream Job」の一環です。今回の調査で発見されたおとり文書の一つには、Lockheed Martinの求人情報が使われていました。
Check Pointは、被害者が最初にどのように接触されたかを特定できませんでした。ただし、過去のDream Job攻撃の傾向から、LazarusはLinkedInのようなビジネス向けSNSやメッセージングアプリを通じて標的に接触した可能性が高いとみています。
「攻撃者は採用担当者になりすまし、魅力的な求人情報を提示して被害者を誘導し、最終的に悪意あるファイルをダウンロードさせます」と研究者らは指摘しています。
LazarusがWindowsゼロデイを悪用しSYSTEM権限を取得
研究者らは、並行して稼働する2種類の感染チェーンを特定しました。1つ目のチェーンでは、被害者が誘導され、暗号化されたZIPアーカイブをダウンロードします。このアーカイブには以下の3つのファイルが含まれています。
- 正規のデジタル署名付きPDFビューア実行ファイル
- DLLサイドローディングで読み込まれる悪意あるDLL
- PDF拡張子を持つ暗号化されたペイロード
DLLサイドローディング感染チェーンの概要図（出典: Check Point）
「被害者が実行ファイルを起動すると、悪意あるDLLであるlibmupdf.dllがDLLサイドローディングを通じて読み込まれます。このDLLは、暗号化されたペイロードからおとりのPDF文書を抽出してユーザーに表示すると同時に、埋め込まれたペイロードをメモリ上で直接抽出・復号・実行します」と研究者らは説明しています。
その後、マルウェアはMISTPENと呼ばれるメモリ常駐型のダウンローダーを実行し、侵害されたシステムの情報を収集した上で、追加のコンポーネントを取得します。
これらのコンポーネントの一つは、Windowsの AFD.sys ドライバに存在するローカル権限昇格の脆弱性であるCVE-2026-68820を悪用します。この脆弱性の悪用に成功すると、攻撃者はSYSTEM権限を取得し、セキュリティ監視を妨害するために設計されたLazarusのカーネルモードルートキット「FudModule」を展開できるようになります。
研究者らは、更新済みのWindows 11システムに対してこのエクスプロイトを検証し、少なくとも2026年7月上旬からOperation Dream Jobで悪用されてきた、これまで未知だった脆弱性を狙うものであることを突き止めました。
Check Pointはこの脆弱性をMicrosoftに報告し、Microsoftは2026年8月11日のPatch Tuesdayの一環として修正パッチを公開しました。
トロイの木馬化されたPDFビューアが新種のバックドアを配布
2026年7月に検出された2つ目の感染チェーンは、ESETが2025年に文書化したOperation Dream Jobの活動と共通する特徴を持っています。
このチェーンでは、攻撃者はプライバシー技術企業Enveilになりすました不正な求人オファーを送信し、標的にはオープンソースPDFビューアを改変した「SecurityPDF」をダウンロードするよう指示していました。
攻撃者が用意したPDFファイルをSecurityPDFで開くと、アプリケーションは埋め込まれたペイロードを抽出・実行します。このペイロードは、新たに確認されたバックドア「Troy」をインストールし、攻撃者に侵害されたシステムへのリモートアクセスを許します。
攻撃者はSecurityPDFを配布するため、Enveilになりすました少なくとも3つのウェブサイトを作成していました。Check Pointによれば、これらの一部は検索結果で上位に表示され、関連する検索クエリで検索結果トップに表示されたものもあったとのことです。同社は、Enveil自体が標的にされたり侵害されたりした形跡は見つからなかったとしています。
「今回の調査では、脅威アクターがこれらのウェブサイトをフィッシングキャンペーンにどのように組み込んだかを直接確認することはできませんでしたが、トロイの木馬化されたPDFビューアの配布と、細工されたPDF文書の配布を切り離す目的で使われていた可能性が高いと見ています」と研究者らは付け加えています。
「このシナリオでは、被害者はまずフィッシングメッセージを通じて悪意あるPDFファイルを受け取り、その後、正規のベンダーサイトに見せかけたウェブサイトからPDFビューアをダウンロードするよう指示される、という流れになります」
侵害されたサーバーを攻撃通信の中継に悪用
Lazarusは、Roundcubeウェブメールをはじめとする各種ウェブサーバーも侵害し、コマンド&コントロール通信の中継に利用していました。
研究者らは、侵害された複数のRoundcubeサーバーが、CVE-2025-49113に対して脆弱なバージョンを稼働させていたことを発見しました。攻撃者はこの脆弱性を悪用する前に、窃取した認証情報を使ってサーバーへの認証を行っていた可能性が高いとみられ、その後、これまで文書化されていなかったPHP製のウェブシェル「RelayShell」を展開していました。
Operation Dream Jobは世界規模に拡大
今回のキャンペーンは主に西欧とインドの組織を標的としており、活動範囲は南米にも及んでいました。
少なくとも1件の事例では、攻撃者はフランスに本社を置く組織を侵害し、それを踏み台にして他の標的へ標的型フィッシングメッセージを送信していました。
Check Pointは、「今回のOperation Dream Jobキャンペーンの最新動向は、Lazarusがマルウェアの能力と攻撃手法の両面で進化を続けていることを示しています」と結論付けています。
SandwormのハッカーがIT技術者を標的に
求職者を狙っているのは、Lazarusだけではありません。ウクライナのCERT-UAは別途、ロシア国家とつながりを持つSandwormグループ（APT44、Seashell Blizzardとしても知られる）のサブクラスター「UAC-0145」が用いる、これと類似した手口を文書化しています。少なくとも2026年5月から続くこのキャンペーンでは、攻撃者はシステム管理者やIT技術者を、偽の求人オファーを通じて標的にしています。
翻訳元: https://www.helpnetsecurity.com/2026/08/12/north-korea-lazarus-fake-job-offers/
