Lazarus Group、Windowsゼロデイ脆弱性を悪用し防衛関連企業へサイバー攻撃(CVE-2026-68820)|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月14日更新日時: 2026年08月14日

北朝鮮の国家支援ハッカー集団Lazarus Groupが、Windowsのゼロデイ脆弱性CVE-2026-68820を悪用し、欧州・インドの防衛・航空宇宙関連企業を標的にしていたことが、セキュリティ企業Check Point Researchの調査で明らかになりました。長年続く偽求人キャンペーン「Operation Dream Job」の最新の展開で、少なくとも2026年7月上旬から悪用が続いていたとされています。この脆弱性はMicrosoftが2026年8月の月例パッチで修正しましたが、修正時点で既に実際の攻撃で悪用されていたことが確認されています。

この記事のサマリー

Check Point Researchは、北朝鮮の脅威アクターLazarus Groupが、Windowsのゼロデイ脆弱性CVE-2026-68820（CVSSスコア7.0）を悪用し、欧州（フランス・ドイツ）およびインドの防衛・航空宇宙・航空関連企業を標的にしていたことを明らかにしました。
脆弱性は、Windowsのカーネルコンポーネント「AFD.sys（Ancillary Function Driver for WinSock）」に存在する解放済みメモリ使用（Use-After-Free）で、ローカルで認証済みの攻撃者が特別に細工したアプリケーションを実行することで、ユーザー操作を経ることなくSYSTEM権限を取得できるとされています。
Microsoftはこの脆弱性を2026年8月11日の月例パッチで修正しましたが、Lazarus Groupは少なくとも同年7月上旬から、この脆弱性をゼロデイとして悪用していたことが判明しています。
攻撃は、ロッキード・マーティンなど著名企業を騙る偽の求人・採用担当者を装い、LinkedIn等の職業SNSやメッセージアプリを通じて標的に接触するという、Operation Dream Jobの既存の手口を踏襲しています。ロッキード・マーティン自身は本件に一切関与していません。
攻撃には2つの並行した感染経路が確認されています。1つはDLLサイドローディングを通じてダウンローダー「MISTPEN」を展開する経路、もう1つはトロイの木馬化されたPDFビューワーアプリケーション「SecurityPDF」を通じて新種のバックドア「Troy」を展開する経路です。
ゼロデイの悪用によって、Lazarus GroupはEDR等のセキュリティ製品のテレメトリを無効化するカーネルモードのルートキット「FudModule」の新バージョンを展開しており、新たにSmart App Controlの改ざん機能も追加されていることが確認されています。
Lazarus Groupは、侵害したRoundcubeウェブメールやWordPress・PrestaShopサイトなど、少なくとも17台の第三者サーバーに、独自のPHP Webシェル「RelayShell」を設置し、これを匿名の中継ノードとして悪用していました。

整理表

項目	内容
公表日	2026年8月12日前後（Check Point Researchの調査結果）
脅威アクター	Lazarus Group（北朝鮮の国家支援ハッカー集団）
キャンペーン名	Operation Dream Job（長期にわたる偽求人型キャンペーン）
悪用された脆弱性	CVE-2026-68820（CVSSスコア7.0、Windows AFD.sysのUse-After-Free）
悪用開始時期	少なくとも2026年7月上旬から
修正日	2026年8月11日（Microsoft月例パッチ）
標的地域・業種	欧州（フランス・ドイツ）、インドの防衛・航空宇宙・航空関連企業
主な接触経路	LinkedIn等の職業SNS、メッセージアプリを通じた偽の採用担当者からの接触
感染経路1	暗号化ZIPアーカイブ経由のDLLサイドローディング→ダウンローダーMISTPEN→バックドアForestTiger（別名ScoringMathTea）
感染経路2	トロイの木馬化されたPDFビューワー「SecurityPDF」→バックドアTroy（17種のコマンドに対応）
展開されたルートキット	FudModule（新バージョン、Smart App Control改ざん機能を追加）
中継インフラ	侵害された第三者サーバー（Roundcube・WordPress・PrestaShop）にPHP Webシェル「RelayShell」を設置、少なくとも17台確認

何が起きたか

Check Point Researchによると、Lazarus Groupは長年続けてきた偽求人型キャンペーン「Operation Dream Job」の最新の波の中で、Windowsのゼロデイ脆弱性を悪用していました。この脆弱性は、Windowsカーネルの一部であるAFD.sys（Ancillary Function Driver for WinSock、ソケットの状態管理を担うコンポーネント）における解放済みメモリ使用（Use-After-Free）で、同時アクセスに対する処理の不備に起因します。ローカルで認証済みの攻撃者が特別に細工したアプリケーションを実行し、競合状態を発生させることで、カーネルの読み書き権限を取得し、侵害されたユーザー権限からSYSTEM権限へと昇格できるとされています。

Check Pointは当初、この脆弱性が2025年11月にMicrosoftが修正した別の脆弱性（CVE-2025-60719）に類似していると考えていましたが、完全に更新済みのWindows 11環境でエクスプロイトを検証したところ、依然として動作したことから、新たな脆弱性であると確認し、CVE-2026-68820として採番されました。この脆弱性は、Microsoftが2026年8月11日の月例パッチで修正しましたが、修正時点で既にLazarus Groupが少なくとも7月上旬から実環境で悪用していたことが判明しています。

攻撃の手口——偽の求人から始まる2つの感染経路

Operation Dream Jobは、著名企業の採用担当者を装い、LinkedIn等の職業SNSやメッセージアプリを通じて標的に接触するという、Lazarus Groupが長年用いてきた手口です。今回の攻撃でも、ロッキード・マーティンの求人票を模した偽の求人票が確認されていますが、同社自身は本件に一切関与していません。Check Pointは、標的が最初にどのように接触されたかを特定できていないものの、過去のOperation Dream Jobの傾向から、LinkedInやメッセージアプリを通じた接触があったと推測しています。

確認された感染経路は2つあります。1つ目はDLLサイドローディングを利用する経路で、標的は正規の署名済みPDFビューワーと悪意あるDLL、暗号化されたペイロードを含む暗号化ZIPアーカイブをダウンロードするよう誘導されます。実行ファイルを起動すると、悪意あるDLL（libmupdf.dll）が偽の求人票を表示する一方で、水面下でMandiantが2024年に初めて報告した軽量のダウンローダー「MISTPEN」をメモリ上で復号・実行します。MISTPENは、Microsoft Graph APIとOneDriveを通じて攻撃者のインフラと通信し、正規のMicrosoft社の通信に紛れる形で偵察・永続化モジュールを取得・実行したうえで、AFD.sysの脆弱性を突く攻撃を発動し、最終的にリモートアクセスを提供するバックドア「ForestTiger（別名ScoringMathTea）」を展開します。

2つ目は、トロイの木馬化されたPDFビューワーアプリケーション「SecurityPDF」を利用する経路です。被害者がこのアプリケーションをインストールし、攻撃者が用意したPDFファイルを開くと、アプリケーション内部に仕込まれた隠しマーカーの確認処理が実行されます。マーカーが存在する場合、単一バイトのXORキーを用いて埋め込まれたペイロードが復号され、ランチャーが利用者の一時フォルダに書き込まれ実行されます。このランチャーは、17種類のコマンド（ファイルの閲覧・列挙、データのアップロード・ダウンロード、対話型のコマンドシェル、実行中のプロセスへのコード注入、プロセスの終了等）に対応する、新たに確認されたバックドア「Troy」をメモリ上で直接読み込みます。Troyはメモリ上でのみ動作するよう設計されています。

FudModuleルートキットとRelayShellインフラ

AFD.sysの脆弱性を悪用して取得したSYSTEM権限を通じて、Lazarus Groupはカーネルモードのルートキット「FudModule」の新バージョンを展開しています。FudModuleは、セキュリティ製品のコールバック・フィルター・イベントトレース機能・監視機能を無効化・妨害することで、セキュリティ製品のテレメトリを低下させるよう設計されています。今回確認された新バージョンでは、これまで報告されてきた機能に加え、Windowsの「Smart App Control」を改ざんする新たな機能が追加されていることが確認されています。

あわせて、Lazarus Groupは専用のサーバーを新たに構築するのではなく、Roundcubeウェブメール、WordPress、PrestaShopといった、侵害済みの第三者サーバーを積極的に活用していました。これらのサーバーには、独自のPHP Webシェル「RelayShell」が設置されており、単純なテキストファイルを介してコマンドと応答をやり取りする、匿名の双方向中継ノードとして機能していたとされています。Check Pointは、少なくとも17台のこうしたサーバーを特定しており、初期の侵害には脆弱なRoundcubeのインストール（CVE-2025-49113等）と、ダークウェブ上の漏えい情報から入手したとみられる認証情報が用いられていたとみられます。攻撃者は、自らの所在地を隠すため、商用VPNサービス経由で接続していたことも確認されています。

Check Point Softwareの脅威インテリジェンス部門ディレクター、Sergey Shykevich氏は、「このキャンペーンが特に危険なのは、ゼロデイ脆弱性だけではなく、Lazarusが攻撃のあらゆる段階に、正規の信頼されたインフラをどう織り込んでいるかという点だ」と述べ、上位に表示される検索結果、実在するベンダーのブランディング、既に侵害済みの組織の評判の裏に隠れていたと指摘しています。攻撃者は検索エンジンで上位表示されるよう、意図的なSEO操作も行っていたとされています。

AFD.sysを繰り返し狙う、Lazarusの既知のパターン

AFD.sysがLazarus Groupに狙われたのは、今回が初めてではありません。同グループは2024年にも、AFD.sysの構造的に類似したUse-After-Free脆弱性（CVE-2024-38193、2024年8月修正）を悪用し、以前のバージョンのFudModuleルートキットを展開していたことが確認されています。セキュリティ企業Tenableの主任リサーチエンジニアSatnam Narang氏は、2026年8月の月例パッチの分析の中で、「2022年以降、AFD.sysのゼロデイが実環境で悪用された事例は他に3件あり、CVE-2025-32709、CVE-2025-21418、CVE-2024-38193が含まれる。CVE-2024-38193は、北朝鮮に関連するLazarus Groupによって悪用されたと報告されている」と指摘しています。

北朝鮮系ハッカー集団Lazarus Group全般の攻撃手法や日本での被害実例については、北朝鮮のハッカー集団Lazarus（ラザルス）とは？攻撃手法や日本での被害実例もあわせてご参照ください。

情報システム部門が確認すべき対策ポイント

Windowsを利用している場合、2026年8月の月例パッチ（CVE-2026-68820の修正を含む）を速やかに適用してください。
防衛・航空宇宙・航空関連企業やそのサプライチェーンに属する企業、あるいはこれらの業界を支援する専門サービス企業（エンジニアリング、海事、MSP等）は、Operation Dream Jobの標的になり得る点を踏まえ、採用・人事プロセスにおけるセキュリティ意識向上を検討してください。
LinkedIn等のSNSや職業ネットワーク経由で届く求人・採用担当者からの連絡について、実在する企業からの正規の連絡かどうかを、公式な採用ページや連絡先を通じて確認する習慣を、従業員に周知してください。
求人関連の書類として送られてきたZIPアーカイブやPDFビューワーアプリケーションを、安易に実行・インストールしないよう注意喚起してください。署名済みの正規アプリケーションであっても、悪意あるDLLと組み合わせて悪用されるケースがあります。
EDR等のセキュリティ製品のテレメトリが、ルートキットによって無効化・改ざんされていないか、複数の監視レイヤーを組み合わせて検知できる体制を検討してください。
自社が運用するRoundcube・WordPress・PrestaShop等のWebアプリケーションについて、既知の脆弱性へのパッチ適用状況と、認証情報の使い回しがないかを確認してください。今回の攻撃では、こうした侵害済みサーバーが匿名中継インフラとして悪用されています。