CISAが連邦政府機関に猶予2週間、北朝鮮関連キャンペーンで悪用されたMicrosoft脆弱性へのパッチ適用を指示

連邦政府機関に対し、北朝鮮のハッカーが防衛・航空宇宙業界への就職応募者を狙う際に利用していたWindowsの脆弱性へのパッチ適用が命じられました。 

米サイバーセキュリティ・インフラセキュリティ庁(CISA)とMicrosoftは火曜日、CVE-2026-68820が悪用されていることを確認したと発表しました。この脆弱性は、Microsoftの今回のPatch Tuesday公開分の中で、同社が実際の攻撃に使用されていると確認した唯一の脆弱性です。 

この脆弱性は、Webブラウザがインターネットに接続する際の橋渡し役を担うツール「Winsock」に影響します。 

Nightwing社のNick Carroll氏は、深刻度スコアが10点満点中7点となるこの脆弱性を、閉まりかけたドアをすり抜けて侵入し、厳重に警備された施設内で自分専用の全権限VIPバッジを勝手に発行するようなものだと例えています。

CISAは連邦政府機関に対し、8月25日までにパッチを適用するよう命じています。適用にはデバイスの再起動が必要で、回避策は存在しません。Automox社のCTOであるJason Kikta氏は、同じコンポーネントが2024年にも、北朝鮮の偵察総局傘下で運営される悪名高いハッキング組織「Lazarus Group」によって悪用されていたと指摘しています。 

Kikta氏によると、この脆弱性の悪用には2段階のステップが必要で、攻撃者はまずフィッシングによって低権限の足がかりを得た上でこれを利用することになります。 

「これは今月の最優先対応事項として扱うべきです。今回の公開分の中で実際の悪用が確認されている唯一の脆弱性であり、管理下にあるすべてのWindowsエンドポイントに影響します。この情報を無駄にせず活用してください。この悪用パターンは検知可能ですが、それはカーネルドライバーのレースコンディション悪用を実際にカバーする検知体制がある場合に限られます」とKikta氏は付け加えています。 

作戦名「Dream Job」

Check Point社によると、同社はこの脆弱性を、北朝鮮のハッカーが就職応募プロセスを悪用する長期キャンペーン「Operation ‘Dream Job’」の最新の攻撃波を調査する過程で発見し、Microsoftに開示したとしています。 

火曜日に公開されたCheck Point社のレポートによると、Lazarus GroupのハッカーはLockheed Martin社やプライバシーテック企業Enveil社の採用担当者になりすまし、LinkedInなどのサイトで対象者に接触した後、悪意のあるPDFファイルを候補者に送りつけていました。ファイルが開かれると、バックドアが有効化され、Lazarusのハッカーに長期的なリモートアクセスが提供される仕組みです。 

Check Pointの研究者によると、このマルウェアはまず感染デバイスに関する情報を収集した後、CVE-2026-68820を悪用するエクスプロイトを展開するとのことです。 

研究者らは当初、この問題が昨年修正された過去の脆弱性に関連するものだと考えていましたが、さらなる検証の結果、新種の脆弱性であることが判明しました。この欠陥は「すでにマルウェアを侵入させている攻撃者が、限定的なアクセス権限から、通常はオペレーティングシステム自体にのみ許されるような完全な制御権限へとエスカレーションすることを可能にする」ものです。

Check Pointの脅威インテリジェンス責任者であるSergey Shykevich氏は、今回のキャンペーンを危険なものにしているのはゼロデイ脆弱性そのものだけでなく、正規の信頼された基盤を攻撃のあらゆる段階に織り込むLazarusの能力だと述べています。 

同氏は「彼らは検索結果の上位、実在するベンダーのブランド、そしてすでに侵害済みの組織の信用という、いわば白昼堂々な場所に身を潜めていました」と語っています。「Webサイトも、ダウンロードファイルも、採用担当者も、すべてが本物に見える状況では、『フィッシングリンクを見抜け』という従来のアドバイスはもはや簡単には通用しません」

研究者らは、監視センサー、ドローン、ロボティクスなど防衛関連の複数分野にまたがる標的を、フランス、ドイツ、ブラジル、インドで確認しています。 

複数の企業の脅威研究者が2020年以降、Operation DreamJobキャンペーンを追跡してきました。Googleは2022年に警告を発し、10の異なるニュースメディア、ドメイン登録業者、Webホスティングプロバイダー、ソフトウェアベンダーに勤務する250人が本キャンペーンの標的となり、Disney、Google、Oracleを名乗る偽の採用担当者から悪意のあるメールを受け取っていたことを明らかにしています。 

ESETは以前、このキャンペーンに関連する侵害をインド、ポーランド、英国、そして直近ではイタリアで追跡していました。 

CISAが連邦政府機関にこの脆弱性へのパッチ適用を命じた背景には、FBI当局者が、身元不明のある連邦政府機関が誤って北朝鮮出身のITワーカーを雇用してしまった事案を現在調査していると明らかにしたことがあります。これは、世界中の組織への浸透を狙う北朝鮮による長期的なキャンペーンの一環とみられています。