- Lazarusはゼロデイ脆弱性、新型バックドア、高度なリレー技術を用いて「Dream Job」作戦を拡大
- 偽の求人、トロイの木馬化されたPDF、なりすましサイトによって高度な侵害を実現
- 標的には防衛・航空宇宙関連企業が含まれ、より強固なフィッシング対策の必要性が浮き彫りに
Check Point Researchのセキュリティ専門家によると、「Operation Dream Job」の新たな攻撃波が確認されたとのことです。今回の攻撃では、これまで報告されていなかったバックドア、真新しいWindowsのゼロデイ脆弱性、そして未知のウェブシェル兼リレー機能が悪用されていました。
Lazarus Groupは北朝鮮政府の支配下にあるハッキング集団です。国家が支援する脅威アクターとして知られ、暗号資産開発者をはじめWeb3業界の専門家を主な標的とし、盗んだトークンを同国の兵器開発計画や国家運営全般の資金源に充てています。
また同グループは、長年にわたり展開されている「Operation Dream Job」というハッキングキャンペーンでも知られています。これは非常に魅力的でありながら実際には存在しない求人案件で被害者を誘い込む手口です。
Operation Dream Jobとは
この詐欺の手口は次の通りです。まず攻撃者は、ソフトウェア開発、防衛、航空宇宙、軍事関連などの業界を装った架空の企業をでっち上げます。
攻撃者はその架空企業のウェブサイトやLinkedInアカウントを作成し、そこに勤務しているとする架空の人物まで用意します。そのうえで標的に接触し、好条件の労働環境、破格の給与、そして魅力的なプロジェクトへの参加機会を持ちかけます。
この誘いに乗った被害者は一連の「面接」を経て、途中の段階で武器化されたPDFファイルを渡されたり、「研修」や「スキル評価」の一環として実行可能ファイルなどのコードをダウンロードして実行するよう求められたりします。この瞬間に被害者の端末は侵害され、攻撃者は被害者の実際の勤務先の内部インフラへのアクセス権を手に入れることになります。
その後の展開はケースによって大きく異なります。Lazarusは少なくとも一度、10億ドル以上相当の暗号資産を、ある被害者から盗み出したこともあります。
賭け金を吊り上げる
今回の調査でおそらく最大の発見は、LazarusがGoogleの目すら欺いていたという点です。偽のLockheed Martinおよびenveilの求人情報がフィルターをすり抜けて掲載され、なりすましの悪意あるウェブサイトが検索結果の上位に表示されていました。
さらに、同グループが悪用していた新しいWindowsの脆弱性も判明しています。CVE-2026-68820として追跡されているこのゼロデイ脆弱性は、「Windows Ancillary Function Driver for WinSockにおけるuse-after-freeバグ」と説明されており、権限を持つ攻撃者がローカルで権限を昇格できてしまうというものです。
このバグはWindowsのコアとなるネットワーキングコンポーネントに存在するもので、端末上に既にマルウェアを展開している攻撃者が、最高レベルまで権限を昇格させることを可能にします。Microsoftは2026年8月11日にこの脆弱性を修正しました。
Lazarusはこのバグを利用して、Troyと呼ばれる、これまで報告されていなかったバックドアを展開していました。このマルウェアには17種類のコマンドが実装されており、ファイルのアップロード・ダウンロード、対話型シェルアクセス、メモリ内でのDLLインジェクション、プロセスの強制終了などが可能です。
また同グループは、自前のインフラを単純に運用する代わりに、侵害したRoundcubeウェブメールおよびCMSサーバーをC2(command and control)のリレーとして利用しており、RelayShellと呼ばれる新型のPHPウェブシェルを展開していました。このウェブシェルは、被害者と攻撃者の間でテキストファイルを介してコマンドと応答をやり取りする仕組みになっており、従来型のバックドアとは異なる挙動を示します。
Check Pointが確認した感染経路の一つでは、犯人グループがSecurityPDFと呼ばれるトロイの木馬化されたPDFビューアーを使用していたことも判明しています。攻撃者はこれを、正規企業のEnveilになりすましたウェブサイト上でホストしていました。このドライブ型ビューアーはPDFファイル内に特定の隠しマーカーがないかをスキャンし、見つかった場合はそれを復号してTroyを直接メモリ上にロードします。
Lazarusは通常、暗号資産関連企業やソフトウェア開発者を標的にしています。しかし今回は、防衛関連組織、航空宇宙関連企業、さらには航空業界で働く人々にも狙いを定めていました。被害者の大半は欧州とインドに所在しており、フランス、ドイツ、ブラジル、インドでの活動が確認されています。
Check Pointはまた、侵害を受けた組織のすべてが本来の標的だったわけではないとも指摘しています。攻撃で侵害された組織の一部は、その後インフラとして利用されていました。少なくとも1件のケースでは、Lazarusは西欧のある組織を侵害し、それを踏み台としてさらなる標的にスピアフィッシングメッセージを送信しており、その組織の評判と信頼された通信手段を事実上悪用していました。
こうした攻撃は主にソーシャルエンジニアリングの要素から始まるため、最善の対策は従業員に対してフィッシングの危険性を教育し、「うますぎる話を持ちかけてくる求人オファーは、たいてい怪しいものだ」という認識を浸透させることです。
