Lazarusがゼロデイ攻撃で耐量子鍵交換を使用

北朝鮮のLazarusグループが使用するマルウェアが、コマンドチャンネルの確立に耐量子鍵交換を用いた上でWindowsのゼロデイ脆弱性を悪用するツールを取得していたことが分かりました。この攻撃キャンペーンは、欧州とインド各地の防衛・航空宇宙関連企業を標的としています。

Check Point Researchは7月28日にこの脆弱性をMicrosoftに報告し、パッチが提供された当日である8月11日に分析結果を公開しました。

CVE-2026-68820は、Windowsカーネルでネットワークソケットを処理するドライバであるAFD.sysに存在する解放後使用(use-after-free)の競合状態の脆弱性です。今回の8月のPatch TuesdayでMicrosoftが積極的な悪用が確認されたとして警告した唯一の脆弱性でした。

今回の攻撃活動は、防衛企業の従業員に対して虚偽の求人情報を持ちかけるOperation Dream Jobの最新の攻撃波にあたります。

標的には監視センサーやドローン、ロボット工学に取り組む組織が含まれており、フランス、ドイツ、ブラジル、インドで活動または標的化が確認されています。

4つの鍵と多層のハンドシェイク

感染はMISTPENを通じて進行しました。MISTPENは、Microsoft Graph APIを使ってOneDrive上の攻撃者が管理するファイル経由で通信するメモリ常駐型のダウンローダーです。偵察と永続化の段階を経た後、権限昇格エクスプロイトを取得するための専用モジュールを読み込みます。

このモジュールはまずホストのフィンガープリンティングを行い、続いてコマンドサーバーに4つの公開鍵を要求しました。取得した鍵を用いて、NISTが量子コンピュータによる攻撃への耐性を目的に2024年に標準化した鍵カプセル化方式であるKyber/ML-KEMで新たな鍵材料を生成し、カプセル化した結果を返送した上でエクスプロイト本体を要求。これをメモリ上で復号し、実行しました。

このチャンネルを通過する通信には、MISTPEN自体のAES転送暗号化に加えて、GOST-CBCによる2層目の暗号化が施されていました。

このハンドシェイクを通じて配信されたのは、Lazarusのカーネルルートキットである「FudModule」で、Check Pointはこのビルドをv3.1として追跡しています。このルートキットはテレメトリコールバックを無効化し、ミニフィルタを除去し、NTカーネルロガーを停止させ、94個のEvent Tracing for Windows(ETW)プロバイダを無効化します。新たに追加された機能として、Smart App Controlの改ざんも行い、そのポリシー状態をリセットしてコード整合性の再読み込みを強制します。

借用サーバー上のコマンド&コントロール

同グループは、自らが所有しないマシンをほぼ全面的にインフラとして利用していました。CVE-2025-49113を悪用して侵害したRoundcubeのウェブメールサーバーを使用し、認証情報はダークウェブの漏洩情報から入手したとみられます。これに加え、侵害されたPrestaShopサイトも利用していました。

各サーバーには、以前は文書化されていなかったPHP製ウェブシェル「RelayShell」が設置されています。これは従来型のコマンドシェルではなく、セッションファイルを介して操作者と被害者間の通信を中継するメッセージリレーとして機能します。Check Pointは、少なくとも17台の侵害されたリレーサーバーの証拠を確認しました。

配信方法にも変化が見られます。同グループは、プライバシー技術ベンダーのEnveilになりすました少なくとも3つのウェブサイトを構築しており、その一部は検索結果の上位にランクインしていました。

Check Pointは、Enveilが標的にも侵害の対象にもなっていない点を強調しています。これらのサイトは、細工された文書内に隠されたペイロードを実行するトロイの木馬化されたPDFビューアーを配布しており、17種類の操作者コマンドに対応する、これまで文書化されていなかったバックドア「Troy」を送り込んでいました。