攻撃は何年も前から同じ方法で始まります。リクルーターを装った接触から始まり、標的が認識する企業での役職を提示し、その職務内容を説得力のある詳細で記述したPDFが添付されています。この手法は、今日でも国家支援型脅威アクターが使用する最も効果的な侵入ポイントの一つであり続けており、Check Point Research(CPR)は最近数か月間、この新たな波を追跡してきました。北朝鮮と関連のあるLazarusグループに帰属する長期にわたるキャンペーン「Operation Dream Job」が、これまで未公開のWindowsの脆弱性(CVE-2026-68820)、新たに特定されたバックドア、そしてほぼ完全に同グループが所有していないインフラストラクチャ上に構築されたコマンド&コントロールアーキテクチャを伴って再浮上しました。

• Check Point Researchは、偽の求人を利用して防衛セクター、特にヨーロッパとインドの航空宇宙および航空関連組織を標的とする、長期にわたる国家支援型キャンペーンの新たな波を発見しました
• 攻撃者は、これまで知られていなかったWindowsの脆弱性(CVE-2026-68820)を使用して、感染したコンピュータの完全な制御を獲得し、EDRの可視性を回避しました。Check Point社はこの問題をMicrosoft社に報告し、同社はこの調査が公開される前に修正プログラムをリリースしました
• 被害者は偽のリクルーターメッセージを通じて誘い込まれ、悪意のあるPDFを開くか、トロイの木馬化されたPDFビューアをインストールするよう騙されます。これにより、攻撃者にマシンへのリモートアクセスを提供する新たに特定されたバックドアが静かにインストールされます
• 攻撃者は独自のサーバーを運用するのではなく、正規だが侵害されたウェブサイトやウェブメールサーバーを乗っ取ってコマンドを中継しており、悪意のあるトラフィックを通常のアクティビティから区別することを困難にしています
• 少なくとも1つのケースでは、すでに侵害されていた実在の組織が新たな被害者にさらなるフィッシングメッセージを送信するために使用され、その組織の評判を借りてキャンペーンをより説得力のあるものにしました

2026年初頭以来、Check Point Researchは、防衛および航空宇宙セクターの専門家が魅力的なキャリア機会に関心を示すという単純な前提に基づいて構築されたキャンペーンを追跡してきました。リクルーターを装った脅威アクターは、LinkedInや直接メッセージングアプリケーションなどのプラットフォームを通じて接触し、有名企業での役職を提示し、標的を悪意のあるダウンロードへと誘導します。この手法はシンプルですが、洗練されたソーシャルエンジニアリングを通じて専門家の野心を標的とするため、成功し続けています。

Check Point Researchは、並行して動作する2つの感染チェーンを特定しました。

1つ目はDLLサイドローディングに依存しています。被害者は、正規のデジタル署名されたPDFビューア、悪意のあるDLL、およびPDFファイルを装った暗号化されたペイロードを含む暗号化されたアーカイブをダウンロードするよう誘導されます。実行ファイルが起動されると、悪意のあるDLLは被害者におとりの職務記述書を表示しながら、MISTPENをメモリ内で復号化して実行します。MISTPENは、2024年にMandiant社が初めて文書化した軽量ダウンローダーで、Microsoft Graph APIとOneDriveを通じて攻撃者のインフラストラクチャと通信します。偵察および永続化モジュールが実行され、AFD.sysエクスプロイトが成功すると、MISTPENはForestTigerを展開します。これは、攻撃者にホストへの長期的なリモートアクセスを提供する、よく文書化されたLazarusのバックドアです。

2つ目のチェーンはより最近のもので、2025年にESET社がUAVセクターに対して報告したキャンペーンといくつかの特徴を共有しています。被害者は、正規のプライバシー技術企業Enveil社になりすました複数のウェブサイトから、トロイの木馬化されたPDFビューアであるSecurityPDFをダウンロードするよう指示されます。なお、実際の同社はこの攻撃とは一切関係がありません。インストールされると、改変されたビューアは、それを通じて開かれたすべてのPDFに隠されたマーカーがないか検査します。マーカーが存在する場合、アプリケーションは埋め込まれたペイロードを復号化して起動し、Troyバックドアを直接メモリにロードします。

インストールされると、マルウェアは感染したコンピュータに関する情報を静かに収集してから、最も深刻な機能を展開します。これは、ネットワーク接続を担当するWindowsのコアコンポーネントの欠陥を悪用するエクスプロイトです。当初、この欠陥はCVE-2025-60719に似ているように見えました。これは、Microsoft社が2025年11月にすでに修正していた同じコンポーネントの無関係な脆弱性です。しかし、完全に更新されたWindows 11システムに対するテストにより、これが新しいものであることが確認されました。実用的な観点から、この欠陥により、すでにマシンにマルウェアを侵入させた攻撃者が、限定的なアクセスからマシンの完全な制御へとエスカレーションすることができます。これは通常、オペレーティングシステム自体に予約されている種類の制御です。

そのレベルのアクセスは、高度に能力の高いルートキットを実行するために使用されます。これは、セキュリティソフトウェアから攻撃者の存在を隠し、マシン上で何が起こっているかを明らかにするログシステムを無効化するように設計されたツールです。Check Point Researchがv3.1と指定するこのバージョンは、2024年にGen Digital社が以前報告したツールをベースにしており、実行中のソフトウェアが信頼できるかどうかを検証するように設計されたWindowsの機能を改ざんできる新しい機能を追加しています。

Check Point Researchは2026年7月28日にこの脆弱性をMicrosoft社に報告しました。Microsoft社は3日後にこの問題を確認し、8月5日にCVE-2026-68820を割り当て、8月11日にPatch Tuesdayの一部として修正プログラムをリリースしました。

Troyバックドア

Troyは、これまで文書化されていない単一のDLLインプラントで、そのサイズに対して顕著に広範な機能セットを備えています。ファイルの列挙、アップロードとダウンロード、アーカイブと流出操作、対話型シェルアクセス、プロセスの終了、メモリ内DLLインジェクション、および構成の更新を含む17のオペレータコマンドをサポートし、一貫したタスク処理と応答フレームワークを通じて配信されます。その名前は、コンパイルされたバイナリに埋め込まれたPDBパスに由来しています。このパスは、Check Point Researchが以前のLazarusサンプル(昨年公開されたESET社のレポートで参照されているものを含む)で観察したものです。

侵害されたインフラストラクチャの悪用

Lazarusは、専用サーバーを運用するのではなく、侵害されたRoundcubeウェブメールインストールとコンテンツ管理システムプラットフォーム(多くはCVE-2025-49113に対して脆弱)を、ダークウェブのリークから取得した認証情報とともに利用することが増えています。これらのサーバーは、RelayShellに感染しています。これは、これまで文書化されていなかったPHPウェブシェルで、従来のバックドアというよりも、感染したエンドポイントとオペレータ間の通信中継として機能し、シンプルなテキストファイルを通じてコマンドと応答を交換します。Check Point Researchは、この中継ネットワークに関連する少なくとも17の一意のサーバー識別子を特定し、オペレータが商用VPNサービスを通じて接続して所在地をさらに隠蔽していることを観察しました。

キャンペーンの標的と推奨事項

現在のキャンペーンは、防衛、航空宇宙、および航空関連組織に集中しており、フランス、ドイツ、ブラジル、インドを含むヨーロッパ、アジア、南アメリカでの活動が確認されています。現在パッチが利用可能なゼロデイ脆弱性、新しいモジュール式バックドア、および正規のトラフィックに似せて設計されたウェブベースのインフラストラクチャの組み合わせを考慮すると、これらのセクターのセキュリティチームは、8月のPatch Tuesdayアップデートを優先し、Check Point Researchの公開資料で公開された侵害指標を確認し、未検証のダウンロードリクエストに適用するのと同じレベルの精査を、未承諾のリクルーティング活動にも適用する必要があります。

Check Pointソリューションによる保護

このキャンペーンのほぼすべての段階は、転送中ではなくエンドポイント自体で展開されるため、エンドポイントレベルの防御が最も関連性の高い防御線となります。Check Point Endpoint Securityは、この攻撃チェーンの複数のポイントに対処するように構築されています。Threat EmulationとThreat Extractionは、両方の感染チェーンで使用される種類のアーカイブやPDFを含む受信ファイルをユーザーに到達する前に分析し、実行前にアクティブコンテンツを削除またはサンドボックス化できます。Behavioral Guardは、このキャンペーン全体でMISTPENとTroyバックドアが使用するのと同じメモリ内アプローチである、ディスクへの書き込みを回避するマルウェアを識別するように設計されています。AFD.sys脆弱性に対しては特に、Anti Exploitコンポーネントは、脆弱なプロセスに対するゼロデイおよび未知のエクスプロイト試行を検出するように構築されており、これは、特定の手法のシグネチャがまだ存在するかどうかに関係なく、この種のカーネルレベルの権限昇格に最も関連するレイヤーです。このキャンペーンの主要な標的である防衛、航空宇宙、および航空セクターの組織は、CVE-2026-68820を直接パッチ適用することと並行して、この種のエンドポイント防御を優先事項として扱うべきです。

このキャンペーンには、直接対処する価値のある、見過ごされがちな2つ目の側面があります。それは、意図された標的ではなく、侵害されたインフラストラクチャになるリスクです。RelayShellを実行するために使用されたRoundcubeおよびCMSサーバーは、特別なもので侵害されたわけではなく、ダークウェブですでにリークされていた認証情報と、公開サーバー上に存在するパッチ未適用の既知の脆弱性が組み合わされただけです。Check Point Exposure Managementは、これら両方にフラグを立てて修正します。同ソリューションのダークウェブ監視は組織のリークされた認証情報を表面化し、攻撃対象領域の可視性は、Roundcubeサーバーのようなインターネットに面したシステムのうち、どれが露出していてパッチ適用が遅れているか、またはパッチがリリースされるまで仮想パッチが必要かを示します。そして、これらのリスクは安全かつ迅速に修正されます。公開されたウェブメールまたはCMSインフラストラクチャを運用している組織にとって、両方を同時に確認することは、このようなキャンペーンで中継ノードになることを回避するための鍵となります。

完全なレポートについては、Check Point Researchの公開資料をご覧ください。