北朝鮮のLazarusグループが新たなサイバー攻撃を展開

チェック・ポイント・リサーチ（CPR）は、北朝鮮の国家支援型脅威グループ「Lazarus」によるキャンペーン「ドリームジョブ作戦」の新たな攻撃を確認しました。この迫力ある攻撃は、特に防衛業界を標的にし、偽の求人を通じて感染を広めています。欧州やインドの航空宇宙業界が特に狙われており、これによって新たなセキュリティの脅威が浮き彫りになっています。

攻撃の手法

Lazarusグループは、Windows向けの未発見の脆弱性（CVE-2026-68820）を悪用することで、感染したコンピュータへの完全なアクセス権を取得します。この脆弱性は、2026年8月の定期的なアップデートで修正されましたが、いまだにその影響を受けているユーザーは多いと考えられています。被害者は、偽の採用担当者からの誘導メッセージによって悪意のあるPDFを開かせられ、トロイの木馬化されたPDFビューアをインストールされることになります。このビューアは新たに確認されたバックドアを密かにインストールし、攻撃者はリモート操作を行います。

Lazarusは独自のサーバーを運用するのではなく、侵害された正規のウェブサイトやウェブメールサービスを利用し、コマンドの中継を行っている点が特徴的です。この手法によって、正規のトラフィックと悪意のあるトラフィックが混在し、区別が困難になります。

さらに、侵害済みの実在の組織名を利用してフィッシングメールを送信し、攻撃の信頼性を高める手法が観測されています。これにより、攻撃の効果が一層強まっています。

「ドリームジョブ作戦」の詳細

CPRによると、この攻撃は防衛・航空宇宙業界の専門家が興味を持つ求人情報を利用することで、ターゲットにしているとのことです。北朝鮮のLazarusグループは、LinkedInを通じて被害者にアプローチし、著名企業のポジションを斡旋することで、悪意あるダウンロードへと誘導します。この手法はシンプルながらも、職業的野心を巧妙に利用したソーシャルエンジニアリングによって成功を収めています。

攻撃者は、正当な採用担当者やウェブサイト、Googleの検索結果を利用して、自らを正当化させる手法を採用しています。ここで重要なのは、攻撃者が正規の情報に紛れ込むことで、対象者が騙されやすくなるということです。

セキュリティツールと新手法

キャンペーンでは「SecurityPDF」という新たなトロイの木馬が確認され、これは初のモジュール型バックドアとして17種類のコマンドをサポートしています。また、最新のFudModule（v3.1）ルートキットがゼロデイ脆弱性を悪用し、EDRセキュリティツールを無効化します。このことから、防衛組織が依存する検知システムを回避するために新たなツールセットが開発されていることが示されています。

グローバルな影響と懸念

この攻撃キャンペーンはフランス、ドイツ、ブラジル、インドなどにも広がり、監視センサーやドローン、ロボティクスといった防衛関連産業に対しても影響を及ぼしています。特にインドは防衛産業が急成長しているため、攻撃者の主要なターゲットとされています。

攻撃の広がり

攻撃者は正規のウェブメールサーバーを利用し、侵害したRoundcubeウェブメールやコンテンツ管理システムをC2として活用しています。これらのサーバーは脆弱性を持っており、ダークウェブから入手した認証情報と組み合わせることで利用されています。

加えて、侵害された組織がスピアフィッシング攻撃を広げるために、その名声を借用する手法が取られています。このように、企業に対する攻撃がそれだけにとどまらず、他の組織にまで影響を及ぼす可能性があることが示唆されています。

結論

チェック・ポイントの脅威インテリジェンス担当ディレクターは、「このキャンペーンの危険性はゼロデイ脆弱性の利用だけではない。Lazarusが信頼を得ているインフラを利用しているため、攻撃者はより巧妙に身を潜めている」と警鐘を鳴らしています。いまや、信頼そのものが偽造され得る状況において、ユーザーは公式なチャネルを通じてソフトウェアの確認を行い、ゼロトラストの考え方を徹底することが求められています。安全を確保するためには、信頼がどのように偽造されるのかを理解する必要があるのです。