Lazarusのハッカーが防衛関連企業を狙いWindowsゼロデイを悪用

北朝鮮のハッカー集団が、Windowsのゼロデイ脆弱性(CVE-2026-68820)を悪用し、Operation Dream Jobキャンペーンの一環として防衛セクター企業を標的にしていたことが分かりました。

Microsoftは今月のPatch Tuesdayセキュリティ更新でこの欠陥を修正し、既に実際の攻撃で悪用されていると警告しています。研究者らは、Lazarus脅威グループが7月上旬からこの脆弱性を悪用していたことを発見しました。

Microsoftによると、この脆弱性は「Windows Ancillary Function Driver for WinSock(AFD.sys)における解放後使用(use-after-free)」であり、攻撃者がローカル権限を昇格させることを可能にするものです。

同社はさらに、ローカルで認証済みのユーザーが、影響を受けるシステム上で特別に作り込まれたアプリケーションを実行することで競合状態(レースコンディション)を引き起こし、ユーザー操作なしに最終的にSYSTEM権限を取得できると説明しています。

長年続いているOperation Dream Jobキャンペーンの最新の攻撃波では、欧州とインドの防衛・航空宇宙・航空関連組織が標的とされており、標的企業の従業員に対して虚偽の採用オファーを送る手口が使われています。

少なくとも1件のケースでは、攻撃者はフランスの組織を侵害し、それを踏み台として他の標的へのスピアフィッシング攻撃に利用していました。

サイバーセキュリティ企業Check Pointの研究者らは、Operation Dream Jobの最新の変種を追跡調査した結果、LazarusがWindows 11のビルド26100および26200を特に対象とするCVE-2026-68820の悪用コードを、FudModuleカーネルモードルートキットの新バージョンに組み込み、権限昇格に利用していたことを突き止めました。

LazarusがAFD.sysのゼロデイ脆弱性を悪用し権限昇格やFudModuleルートキットの導入に利用したのは、今回が初めてではありません。

研究者らによると、ルートキットの最新版には、EDRのテレメトリ無効化やセキュリティ製品への干渉といった従来から報告されている機能に加え、Smart App Controlへの改ざん機能も新たに追加されているとのことです。

Check Pointの分析では、ハッカーがTroyと呼ばれる新種のバックドアも展開していたことが判明しました。このバックドアは以下を含む17種類のコマンドに対応しています。

• システムおよびプロセスの偵察
• ファイルのアップロード、ダウンロード、削除、アーカイブ化による窃取
• 隠密なコマンド実行
• リモートでのプロセス終了
• メモリ内でのDLLインジェクション
• 設定変更およびビーコンのタイミング変更

Check Pointはまた、脆弱なRoundcubeの導入環境を狙ったスキャン活動も観測しており、こうした環境はその後、RelayShellと名付けられた新種のPHP製Webシェルによって侵害されていたことも報告しています。

攻撃者は、リークした認証情報を使ってRoundcubeに認証を行った後、認証済みのPHPオブジェクトデシリアライゼーション脆弱性であるCVE-2025-49113を悪用し、リモートコード実行を獲得したとみられています。

研究者らは、取得できた識別子の数から判断して、少なくとも17台のサーバーがRelayShellに感染していたと特定しています。

「今回の新たなOperation Dream Jobキャンペーンは、防衛セクター、特に監視センサーやドローン、ロボット工学といった軍事技術に関わる組織に重点的に狙いを定めていました」とCheck Pointは述べています。

「このキャンペーンは世界的な広がりを持ち、ブラジルを含む南米にまで活動が及んでいるほか、フランスやドイツを含む西欧でも標的への攻撃成功が確認されています」

研究者らは、今回の調査結果からLazarusがさらに巧妙化を進め、標的環境に応じて適応するステルス性の高い攻撃手法へと進化していることが裏付けられたと述べています。今回のケースでは、攻撃者は正規のWebインフラ(侵害されたRoundcubeインスタンス)を悪用し、悪意ある通信を隠蔽していました。

Check Pointのレポートには、今回の攻撃に関連する侵害指標(IoC)のリストに加え、RelayShell Webシェルの検知に役立つYARAルールも公開されています。