今回の攻撃が特に危険な理由

ラザルスグループは2020年からOperation Dream Jobを展開してきましたが、今回の波では以下の3つの重要な技術的アップグレードが確認されました ：

1. これまで知られていなかったWindowsゼロデイ脆弱性（CVE-2026-68820）：AFD.sysドライバーに存在
2. 耐量子鍵交換（Kyber/ML-KEM）：C&C（指令制御）トラフィックの暗号化に使用
3. 新たなモジュラー型バックドア「Troy」：乗っ取った正規サーバーを介して通信

攻撃チェーンの詳細

1. 偽の求人情報によるソーシャルエンジニアリング

被害者はLinkedInなどのプロフェッショナルプラットフォーム上で、ロッキード・マーティンやプライバシーテック企業Enveilのリクルーターを装った工作員からアプローチを受けました 。標的は求人情報と「面接資料」をダウンロードするリンクを受け取ります。2つの並行した感染経路が使用されました ：

• 経路A（DLLサイドローディング）：被害者はZIPアーカイブをダウンロード。これには正規のデジタル署名付きPDFビューア実行ファイル、悪意のあるDLL（libmupdf.dll）、および暗号化されたペイロード（.pdf.enc拡張子）が含まれていました。起動時にPDFビューアは悪意のあるDLLをサイドロードし、デコイのPDFを表示する一方で、バックグラウンドでペイロードを復号・実行しました 。
• 経路B（トロイの木馬化されたPDFビューア）：被害者はSecurityPDFという偽のアプリケーションをダウンロード。これはMuPDFベースの正規のPDFビューアを装ったもので、一見正当に見えますが、特別に細工されたPDFを開く際に悪意のあるコードを読み込みました 。

2. 耐量子暗号によるC2チャネルの保護

初期ローダーが実行されると、フィンガープリンティングモジュールが展開され、コマンドサーバーに接続して4つの公開鍵を要求しました。このモジュールは、NIST標準化された耐量子鍵カプセル化メカニズムであるKyber / ML-KEMを使用して、新しい鍵素材を生成し、共有秘密をカプセル化し、その結果をサーバーに送信してから実際のエクスプロイトペイロードを要求しました 。

これは、ラザルスグループがエクスプロイトの配信を保護するために耐量子暗号を使用した初の事例です。この手法により、ネットワークトラフィックが傍受された場合でも、古典的なコンピュータや量子コンピュータを使用する敵対者によってC2チャネルが復号されることはありません 。

3. ゼロデイ脆弱性：CVE-2026-68820（AFD.sys）

配信されたペイロードは、CVE-2026-68820を悪用しました。これは、WindowsのカーネルモードWinsock操作を処理するAncillary Function Driverであるafd.sysにおけるuse-after-free競合状態です 。主な技術的詳細は以下の通りです：

• CVSSスコア：7.0（High）
• 前提条件：攻撃者は初期ローダーから既にローカルコード実行権限を持っている必要がある
• 悪用メカニズム：競合状態に勝利することで、カーネルメモリの解放と再割り当てに成功し、カーネルオブジェクトを破壊してSYSTEM権限へのローカル特権昇格を達成する
• 繰り返し悪用されるベクター：ラザルスグループが2022年以降、少なくとも4回のキャンペーンで同じドライバー（AFD.sys）を悪用しており、これは繰り返し攻撃される表面となっています 。

4. FudModuleカーネルルートキットの展開

SYSTEM権限を獲得した後、エクスプロイトはラザルスグループの特徴的なカーネルモードルートキットであるFudModuleのアップグレード版を展開しました 。このバージョン（FudModule v3.1と呼ばれることもある）は、Windows 11のビルド26100および26200をサポートしていました 。FudModuleはフルカーネルアクセスで動作し、以下のことを行いました：

• エンドポイント検出および対応（EDR）ツールをカーネルレベルで無効化
• カーネルコールバックやプロセス監視を改ざんしてセキュリティ製品を無力化
• 永続性を確立し、MISTPENや新たなTroyバックドアを含む追加のモジュラー型バックドアをロード

5. Troyバックドアと乗っ取られたインフラ

最終段階では、新たに文書化されたモジュラー型リモートアクセスツールであるTroyバックドアが使用されました。そのコマンドインフラは、ほぼ完全に乗っ取られた正規サーバーで構築されており、攻撃者は独自のインフラを構築するのではなく、他の組織のサーバーを侵害しました 。

標的となった国とセクター

緩和策と対応

Microsoftのパッチ

• Microsoftは**2026年8月11日（Patch Tuesday）**に修正プログラムをリリース。CVE-2026-68820を含む398件のCVEを修正
• この修正は、ゼロデイ悪用を特定しMicrosoftに報告したCheck Point Researchの責任ある開示に基づく
• MicrosoftはCVE-2026-68820を、当月のリリースで積極的に悪用されている唯一の脆弱性としてフラグ付け

CISA緊急指令

• 米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、全米連邦民事行政機関（FCEB）に対し、CVE-2026-68820を remediate するよう強制力のある緊急指令を発出
• 各機関には2026年8月25日までにパッチを適用する期限が設定されました
• CISAはこの脆弱性を既知の悪用された脆弱性（KEV）カタログに追加し、すべての連邦組織に対処を義務付け、すべての民間組織にも対処を推奨

組織への推奨アクション

• Microsoftの2026年8月Patch Tuesdayアップデートを直ちに適用し、特にCVE-2026-68820を優先する
• 異常なAFD.sysアクティビティ、予期しないカーネルドライバーのロード、EDRの改ざんを監視する
• 偽のリクルーターによる勧誘やトロイの木馬化されたドキュメントビューアについて従業員を教育する
• 予期しないチャネルでのKyber/ML-KEM鍵交換トラフィックに対するネットワークレベルの検出を実装する

なぜこれが重要なのか

このキャンペーンは、すでに最も多作な国家支援脅威アクターの一つであるラザルスグループによる、高度な技術のエスカレーションを示しています。エクスプロイトの配信を保護するために耐量子暗号を使用していることは、ラザルスグループが防御能力を監視しているだけでなく、その活動を将来にわたって保護するための投資を行っていることを示唆しています。2022年以降少なくとも4回悪用されている同じAFD.sysドライバーへの繰り返しの標的化は、Windowsカーネルにおける永続的な攻撃面を浮き彫りにしており、Microsoftはこれに対して事後対処的にパッチを適用し続けています 。

今回の攻撃が特に危険な理由

ラザルスグループは2020年からOperation Dream Jobを展開してきましたが、今回の波では以下の3つの重要な技術的アップグレードが確認されました ：

1. これまで知られていなかったWindowsゼロデイ脆弱性（CVE-2026-68820）：AFD.sysドライバーに存在
2. 耐量子鍵交換（Kyber/ML-KEM）：C&C（指令制御）トラフィックの暗号化に使用
3. 新たなモジュラー型バックドア「Troy」：乗っ取った正規サーバーを介して通信

攻撃チェーンの詳細

1. 偽の求人情報によるソーシャルエンジニアリング

被害者はLinkedInなどのプロフェッショナルプラットフォーム上で、ロッキード・マーティンやプライバシーテック企業Enveilのリクルーターを装った工作員からアプローチを受けました 。標的は求人情報と「面接資料」をダウンロードするリンクを受け取ります。2つの並行した感染経路が使用されました ：

• 経路A（DLLサイドローディング）：被害者はZIPアーカイブをダウンロード。これには正規のデジタル署名付きPDFビューア実行ファイル、悪意のあるDLL（libmupdf.dll）、および暗号化されたペイロード（.pdf.enc拡張子）が含まれていました。起動時にPDFビューアは悪意のあるDLLをサイドロードし、デコイのPDFを表示する一方で、バックグラウンドでペイロードを復号・実行しました 。
• 経路B（トロイの木馬化されたPDFビューア）：被害者はSecurityPDFという偽のアプリケーションをダウンロード。これはMuPDFベースの正規のPDFビューアを装ったもので、一見正当に見えますが、特別に細工されたPDFを開く際に悪意のあるコードを読み込みました 。

2. 耐量子暗号によるC2チャネルの保護

初期ローダーが実行されると、フィンガープリンティングモジュールが展開され、コマンドサーバーに接続して4つの公開鍵を要求しました。このモジュールは、NIST標準化された耐量子鍵カプセル化メカニズムであるKyber / ML-KEMを使用して、新しい鍵素材を生成し、共有秘密をカプセル化し、その結果をサーバーに送信してから実際のエクスプロイトペイロードを要求しました 。

これは、ラザルスグループがエクスプロイトの配信を保護するために耐量子暗号を使用した初の事例です。この手法により、ネットワークトラフィックが傍受された場合でも、古典的なコンピュータや量子コンピュータを使用する敵対者によってC2チャネルが復号されることはありません 。

3. ゼロデイ脆弱性：CVE-2026-68820（AFD.sys）

配信されたペイロードは、CVE-2026-68820を悪用しました。これは、WindowsのカーネルモードWinsock操作を処理するAncillary Function Driverであるafd.sysにおけるuse-after-free競合状態です 。主な技術的詳細は以下の通りです：

• CVSSスコア：7.0（High）
• 前提条件：攻撃者は初期ローダーから既にローカルコード実行権限を持っている必要がある
• 悪用メカニズム：競合状態に勝利することで、カーネルメモリの解放と再割り当てに成功し、カーネルオブジェクトを破壊してSYSTEM権限へのローカル特権昇格を達成する
• 繰り返し悪用されるベクター：ラザルスグループが2022年以降、少なくとも4回のキャンペーンで同じドライバー（AFD.sys）を悪用しており、これは繰り返し攻撃される表面となっています 。

4. FudModuleカーネルルートキットの展開

SYSTEM権限を獲得した後、エクスプロイトはラザルスグループの特徴的なカーネルモードルートキットであるFudModuleのアップグレード版を展開しました 。このバージョン（FudModule v3.1と呼ばれることもある）は、Windows 11のビルド26100および26200をサポートしていました 。FudModuleはフルカーネルアクセスで動作し、以下のことを行いました：

• エンドポイント検出および対応（EDR）ツールをカーネルレベルで無効化
• カーネルコールバックやプロセス監視を改ざんしてセキュリティ製品を無力化
• 永続性を確立し、MISTPENや新たなTroyバックドアを含む追加のモジュラー型バックドアをロード

5. Troyバックドアと乗っ取られたインフラ

最終段階では、新たに文書化されたモジュラー型リモートアクセスツールであるTroyバックドアが使用されました。そのコマンドインフラは、ほぼ完全に乗っ取られた正規サーバーで構築されており、攻撃者は独自のインフラを構築するのではなく、他の組織のサーバーを侵害しました 。

標的となった国とセクター

緩和策と対応

Microsoftのパッチ

• Microsoftは**2026年8月11日（Patch Tuesday）**に修正プログラムをリリース。CVE-2026-68820を含む398件のCVEを修正
• この修正は、ゼロデイ悪用を特定しMicrosoftに報告したCheck Point Researchの責任ある開示に基づく
• MicrosoftはCVE-2026-68820を、当月のリリースで積極的に悪用されている唯一の脆弱性としてフラグ付け

CISA緊急指令

• 米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、全米連邦民事行政機関（FCEB）に対し、CVE-2026-68820を remediate するよう強制力のある緊急指令を発出
• 各機関には2026年8月25日までにパッチを適用する期限が設定されました
• CISAはこの脆弱性を既知の悪用された脆弱性（KEV）カタログに追加し、すべての連邦組織に対処を義務付け、すべての民間組織にも対処を推奨

組織への推奨アクション

• Microsoftの2026年8月Patch Tuesdayアップデートを直ちに適用し、特にCVE-2026-68820を優先する
• 異常なAFD.sysアクティビティ、予期しないカーネルドライバーのロード、EDRの改ざんを監視する
• 偽のリクルーターによる勧誘やトロイの木馬化されたドキュメントビューアについて従業員を教育する
• 予期しないチャネルでのKyber/ML-KEM鍵交換トラフィックに対するネットワークレベルの検出を実装する

なぜこれが重要なのか

このキャンペーンは、すでに最も多作な国家支援脅威アクターの一つであるラザルスグループによる、高度な技術のエスカレーションを示しています。エクスプロイトの配信を保護するために耐量子暗号を使用していることは、ラザルスグループが防御能力を監視しているだけでなく、その活動を将来にわたって保護するための投資を行っていることを示唆しています。2022年以降少なくとも4回悪用されている同じAFD.sysドライバーへの繰り返しの標的化は、Windowsカーネルにおける永続的な攻撃面を浮き彫りにしており、Microsoftはこれに対して事後対処的にパッチを適用し続けています 。