Lazarus GroupのWindowsゼロデイ攻撃、防衛産業従事者を標的に

見慣れた詐欺に危険な新たなツール

北朝鮮が支援する国家支援ハッカー集団Lazarus Groupが、長年にわたって続く「Operation Dream Job」キャンペーンを再開しました。今回、同グループは深刻なアップグレードを追加しています。それは、追跡番号CVE-2026-68820として管理されているWindowsのゼロデイ脆弱性です。SC Mediaの報道によると、この脅威アクターは、このこれまで知られていなかった欠陥を利用して、被害者のマシン上でSYSTEMレベルのアクセス権を取得し、その後「Troy」と呼ばれるカスタムバックドアを展開します。標的は無作為ではありません。研究者らは、このキャンペーンが防衛および航空宇宙組織に焦点を当てていると述べています。これらのセクターは、制裁対象の国家にとって明らかに重要な関心事である、機密性の高い知的財産と情報を保持しています。

攻撃チェーンは、多くの求職者が決して疑わない場所、すなわち採用メールから始まります。初期アクセスは、偽の求人情報を通じて取得されます。これは、Lazarusがエンジニアやアナリストを騙して悪意のあるファイルを開かせるために長年使用してきた戦術です。今回の最新の波では、被害者は正当なPDFビューアのように見えるものをダウンロードするよう騙され、その代わりにWindowsのゼロデイを悪用するために必要なマルウェアが配信されます。

キャンペーンの実際の仕組み

今回の作戦を特筆すべきものにしているのは、十分に文書化されたLazarusの手口であるソーシャルエンジニアリングだけではなく、その背後にある技術的なエスカレーションです。ゼロデイとは、ベンダーがまだパッチを適用していない脆弱性であり、防御側は事前の警告がなく、悪用時点で利用可能な修正プログラムもないことを意味します。偽の求人情報と罠を仕掛けたPDFビューアを組み合わせることで、Lazarusは、標的の通常の日常的な行動（添付ファイルを開く、ドキュメントリーダーをインストールする）が、特権昇格エクスプロイトの侵入口となるシナリオを作り出します。

ゼロデイが発動されると、攻撃者はSYSTEMレベルの特権、つまりWindowsマシン上で最高レベルのアクセス権を取得すると報告されています。このレベルの制御により、Troyバックドアは最小限の制限で動作でき、データの外部持ち出し、永続的な監視、ネットワーク全体への横展開を可能にする可能性があります。防衛または航空宇宙産業の組織にとって、この種のアクセスは、独自の研究、人事記録、または国家の安全保障に影響を及ぼす通信を、典型的な企業侵害の範囲をはるかに超えて暴露する可能性があります。

なぜこれが防衛部門以外にとっても重要なのか

このような話を読んで、機密扱いの許可を持つ大規模な請負業者だけに関係すると考えるのは簡単です。しかし、この攻撃の仕組み（偽の採用連絡とトロイの木馬化されたソフトウェアのダウンロードの組み合わせ）は、広く適用可能です。Lazarus Groupは、組織だけでなく個人を標的にしてきた長い歴史があり、LinkedInメッセージ、電子メール、さらにはメッセージングアプリを使用して、マルウェアを配信する前に信頼関係を構築してきました。今日、防衛エンジニアを侵害するのと同じプレイブックが、明日にはサイバーセキュリティ研究者、ジャーナリスト、または暗号通貨開発者を簡単に標的にする可能性があります。

また、この活動がどこから発生しているかを覚えておく価値もあります。Lazarus Groupは、世界で最も厳しく管理された情報環境の一つである北朝鮮から活動しており、そこでは政権が一般市民のインターネットアクセスを制限する一方で、国家に連携した部隊が洗練された世界的な作戦を実施しています。北朝鮮国内のデジタルアクセスと監視がどのように機能するかに興味がある読者向けに、北朝鮮向け最高のVPNに関する私たちの分析では、その特定の状況において、基本的なプライバシーツールでさえも莫大なリスクと結果をもたらす理由を説明しています。

これがあなたにとって何を意味するか

あなたが防衛、航空宇宙、または不意に採用メッセージを頻繁に受け取る分野で働いているなら、このキャンペーンは、予期しない求人情報、特に添付ファイルを「表示」したり評価を完了したりするためにソフトウェアのダウンロードを求めるものに対して慎重になるよう促す警告です。正当な採用担当者が、履歴書や職務記述書を確認するために特別なPDFビューアや変わったアプリケーションを要求することはめったにありません。

他のすべての人にとって、より広い教訓は、パッチ適用の徹底とメールへの懐疑心についてです。ゼロデイは、ベンダーが認識すれば最終的には修正されますが、パッチが利用可能になったらすぐに更新を実際にインストールする場合にのみ保護されます。それまでの間、最善の防御は、初期感染経路（不審な添付ファイル、見慣れないダウンロードリンク、突然現れて緊急性を訴える求人情報）を完全に回避することです。

実践的な takeaways

面接前からソフトウェアのダウンロードを要求する求人情報には、特に懐疑的に対処してください。Windowsとすべてのアプリケーション、特にPDFリーダーは、パッチがリリースされたらすぐに更新してください。可能な場合はエンドポイント検出ツールを使用してください。特権昇格の試みは、初期のエクスプロイトが未知であっても、検出可能な痕跡を残すことが多いためです。防衛関連産業の組織は、Operation Dream Jobの戦術について従業員に具体的に説明する必要があります。認識は、ソーシャルエンジニアリング攻撃に対する最も効果的な防御の一つであり続けるからです。このようなキャンペーンについて常に情報を得ることは、組織と自身のデジタルフットプリントの両方を保護するための実践的なステップです。