東京, 2026年11月2日 - (JCN Newswire) - サイバーセキュリティとデジタルプライバシーのグローバル企業であるKasperskyは、同社のグローバル調査分析チーム（GReAT）による、APTグループ「Lazarus」のサイバースパイ活動「Operation FlashHole」の調査結果を発表しました。Kasperskyによると、このキャンペーンは少なくとも2025年7月から続いており、これまでに韓国の建設、ソフトウェア、有線通信機器製造の分野で少なくとも3つの組織が被害を受けています。攻撃者はスピアフィッシングを使い、正規ソフトウェア「CrossWeb EX」を悪用したうえで、これまで報告されていなかったツールを含む、新しいバージョンのマルウェアを展開していました。
Kasperskyは、昨年初めて確認したLazarusの「Operation SyncHole」に関連する、新たな攻撃の波を突き止めました。Kasperskyの分析では、攻撃者はその後もツールと手法を進化させ、より執拗で高度な活動を展開しています。
Kasperskyは調査の過程で、指令（C2）通信の経路として使われていたGitHubアカウントと、それにひもづくGitHub Pagesのウェブサイトを発見しました。2025年9月に作成されたこのアカウントには当初、ネットワーク機器のシニア開発者を名乗る人物の履歴書サイトが置かれていました。これは、求人をテーマにしたLazarusの代表的なキャンペーン「Operation DreamJob」と共通するおとりの手口です。ページには、求職者とされる人物のAI生成の顔写真が使われていました。Kasperskyは、攻撃者が標的に合わせて偽サイトを作り分ける際にもAIを使ったとみています。攻撃は、標的ごとに作られた偽のポートフォリオや履歴書のサイトへのリンクを記したスピアフィッシングメールから始まっていました。
Kasperskyの調査では、不正なサイトの閲覧をきっかけに、韓国で広く使われているセキュリティプラグイン兼ウェブ認証ソフトウェア「CrossWeb EX」を介した感染が始まった可能性が高いことが分かりました。CrossWeb EXに存在する可能性のある脆弱性が、攻撃者の最初の侵入口になったと考えられます。なお、この金融セキュリティソフトウェアについては、以前に脆弱性の存在を確認するセキュリティアドバイザリが公開されています。Kasperskyは詳細な分析を通じて複数の不正なペイロードを特定し、感染の流れを再構成しました。その結果、高度なマルウェア配布の仕組みと、標的のシステム上で不正な活動を隠す高度な手法が明らかになりました。
Kasperskyによると、攻撃者は既存のマルウェアの新しいバージョンに加え、これまで報告されていなかった2つのツール「TouchHub」と「ClientHub」を組み合わせていました。これらのツールは、追加のマルウェアのインストール、感染したコンピューター上でのコマンドの実行、攻撃者との通信を担い、最終的にはサイバースパイ活動を目的としています。新しいツールの1つには、Dropboxを使って攻撃者と通信する亜種も存在します。
Kasperskyは、このキャンペーンでLazarusが長年使っているツール「LPEClient」の新しいバージョンも確認しました。LPEClientは、感染したコンピューターの情報を収集し、追加のマルウェアを送り込むツールです。新しいバージョンは、インストールされているセキュリティソフトウェア、Windowsのセキュリティ保護機能、その他のシステムの特徴に関する情報を集め、圧縮・暗号化したうえで攻撃者に送信します。
さらにKasperskyは、新しいLPEClientが耐量子暗号の方式「ML-KEM-1024」を採用していることを確認しました。これは、将来の量子コンピューターによる攻撃からも通信を守ることを目的に設計された暗号方式です。LPEClientはこの方式で攻撃者のサーバーとの暗号化通信を確立し、追加のマルウェアをダウンロードしてメモリ上で直接実行します。また、検知を逃れるため、メモリの保護設定を変更したり、セキュリティツールが不審なシステム動作の検知に使う監視フックを無効にしたりして、セキュリティ監視の回避を試みます。
Lazarusグループは、これまでにも採用担当者を装ったり、求人を持ちかけたりして標的に接近してきました。日本では、2024年に国内の暗号資産交換業者から約482億円相当の暗号資産が流出した事案が、Lazarusと関連するとみられるグループ「TraderTraitor」によるものと公表されています。公開情報によると、この事案も採用担当者を装った人物からの接触が発端とされており、求人を装った攻撃が日本の組織にとっても現実の脅威であることを示しています。
Kaspersky GReATでシニアセキュリティリサーチャーを務めるリュ・ソジュン（Sojun Ryu）は、次のように述べています。「Lazarusは活動の幅を広げ続けており、新たなキャンペーンを展開しながら、新しいツールを投入し、既存のツールも目的に合わせて作り直しています。Operation FlashHoleの分析と過去の調査で得られた証拠から、同グループが長年使ってきた攻撃手法にAIを取り入れつつあることがうかがえます。これは、Lazarusと連携する他の攻撃者にも見られる変化です。特に注目すべきは、Lazarusが将来の量子コンピューターの脅威にも耐えるよう設計された暗号を採用している点です。私たちの調査では、その利用は少なくとも2024年9月までさかのぼります。つまり、今回の公表より1年以上前から、この仕組みが同グループのマルウェアの通信を守っていたことになります」
詳細なレポートは、Securelist（英語）でご覧いただけます。
Operation FlashHoleのようなLazarusの攻撃から組織を守るため、Kasperskyは次の対策を推奨しています。
- 標的型フィッシングを見分けられるよう従業員を教育します。予期しないメールやリンクは、本物らしいビジネス向けのウェブサイトにつながるものであっても確認し、不審なメッセージはセキュリティチームに報告するよう徹底します。
- ソフトウェアを常に最新の状態に保ち、セキュリティパッチを速やかに適用します。業務に欠かせないアプリケーションの脆弱性を定期的に評価し、不要なコンポーネントを無効にすることで、悪用されるリスクを減らします。
- ユーザーの権限を制限し、指令（C2）通信に悪用されるおそれのあるクラウドサービスへの接続を監視します。
- Operation FlashHoleで使われたツールを含む幅広い脅威から企業を守るため、Kaspersky Nextの製品ラインのソリューションを利用します。リアルタイム保護、脅威の可視化、EDRとXDRによる調査・対応機能を、業種や規模を問わずあらゆる組織に提供します。現在のニーズと利用できるリソースに応じて最適な製品ティアを選べるほか、サイバーセキュリティの要件が変わった場合も別のティアへ簡単に移行できます。
- 侵害調査（Compromise Assessment）、Managed Detection and Response（MDR）、インシデントレスポンスなど、Kasperskyのマネージドセキュリティサービスを導入します。脅威の特定から継続的な保護と修復まで、インシデント管理のサイクル全体をカバーします。検知を逃れようとする攻撃からの保護やインシデントの調査を支援し、社内にセキュリティ人材が不足している場合でも専門的な知見を補えます。
- 情報セキュリティ担当者が、自社を狙うサイバー脅威を深く把握できるようにします。Kaspersky Threat Intelligenceは、インシデント管理のサイクル全体にわたって豊富で有益なコンテキストを提供し、サイバーリスクの早期特定を支援します。
Global Research &Analysis Team（GReAT）について
2008年に設立されたGReATは、Kasperskyの中核を担う組織として、APT、サイバースパイ活動、主要なマルウェア、ランサムウェア、アンダーグラウンドのサイバー犯罪の動向を世界中で明らかにしています。現在は欧州、ロシア、中南米、アジア、中東の各地で35人以上の専門家が活動しています。優れたセキュリティの専門家たちが、マルウェア対策の研究とイノベーションでKasperskyを牽引し、比類のない専門知識と情熱、探究心をもってサイバー脅威の発見と分析に取り組んでいます。
Kasperskyについて
Kasperskyは1997年に設立されたサイバーセキュリティとデジタルプライバシーを専門とするグローバル企業です。「サイバーイミュニティ」というアプローチによって業界に革新をもたらし、これまでに10億台以上のデバイスを保護し、個人、企業、重要インフラ、政府機関をサイバー脅威から守っています。
Kasperskyは「Cybersecurity True to Business」（ビジネスに寄り添うサイバーセキュリティ）を掲げ、明確な成果の提供、収益の保護、業務負荷の軽減、ダウンタイムの防止に注力しています。また、高度な脅威インテリジェンスとセキュリティの専門知識を活かし、中小企業から大企業まであらゆる規模の組織を対象に、実績あるAI駆動型保護技術とシンプルな管理機能、専門的なサポートを組み合わせた革新的なソリューションとサービスを継続的に提供しています。
第三者機関によるテストでも高い評価を受け、何百万人という世界中のユーザーと約20万の組織から信頼されているKasperskyは、脅威の早期検知と迅速な対応を可能にし、より高い信頼性と自由度をもって運用できる環境を提供することで、お客様にとって最も重要なものを守ります。詳細については、www.kaspersky.com をご覧ください。
※本プレスリリースは、2026年10月21日に発表されたニュースリリースの抄訳版です。
本件に関するお問い合わせ先：
Kaspersky広報事務局（株式会社カーツメディアワークス内）
担当：山根、マルク、アリアル
TEL: 03-6427-1627
Email: contact@kartz.co.jp
Copyright 2026 JCN Newswire. All rights reserved. www.jcnnewswire.com
