概要

韓国当局と複数のセキュリティ企業は、韓国の銀行・税務・行政サービスで導入が必須となっている電子署名ソフト「AnySign4PC」（HancomWITH開発）のゼロデイ脆弱性を悪用した、国家支援型とみられるサイバースパイキャンペーンを公表した。攻撃者は改ざんした韓国の正規ウェブサイト（ニュース、医療、教育、製造業など)を踏み台とし、これらのサイトを訪問しただけで、脆弱なバージョンのAnySign4PCを利用しているユーザーの端末にユーザー操作なしでバックドアが感染する「水飲み場攻撃」を展開していた。2026年初頭から活動が続いており、これまでに72以上の組織で被害の痕跡が確認され、少なくとも15の正規ウェブサイトが配信インフラとして悪用された。

脆弱性と攻撃の仕組み

悪用されたのはAnySign4PCのバージョン1.1.4.4から1.1.4.6に存在するバッファオーバーフローの脆弱性で、リモートコード実行（RCE）を許すものだった。開発元は修正版のバージョン1.1.5.0をリリース済みで、当局は該当する脆弱なバージョンの即時削除とアップグレードを呼びかけている。

攻撃チェーンは複数段階で構成される。まず改ざんされたサイトに埋め込まれた悪意のJavaScriptが、被害者端末上でWebSocketを介してローカルで稼働するAnySign4PCと通信し、インストール済みのバージョンを確認する。次に4枚のPNG画像に埋め込む形でバージョン固有のエクスプロイトコードが配信され、バッファオーバーフローをトリガーして攻撃者制御のシェルコードを実行させる。最終的なペイロードはsvchost.exeやSyncHost.exeといった正規のWindowsプロセスに注入され、検知を回避する。持続性の確保には、RuntimeBrokerからtask.vbsを起動するスケジュールタスクの悪用や、レジストリベースの設定、DLLサイドローディング、メモリ内でのPE実行など複数の手法が組み合わされていた。

展開されたバックドアとLazarusとの関連

このキャンペーンでは「Struggle」（SIGNBT系統、バージョン0.0.1・1.2・3.0が確認されている）と「Brandoor」（COPPERHEDGEとしても知られる）と呼ばれるバックドアが展開された。いずれもリモートコマンド実行、ファイル窃取、内部偵察、プロセスインジェクション、追加ペイロードの配信機能を備える。SIGNBTやCOPPERHEDGEは北朝鮮の国家支援グループLazarus（HIDDEN COBRA、Labyrinth Chollima、ZINCなどの別名でも追跡される)が過去に使用してきたツールとして知られる。ただし今回の「Operation Double Barrel」と呼ばれるキャンペーンについて、韓国政府の諮問委員会は2026年7月時点で正式にはLazarusへの帰属を発表していない。一方でAhnLabは3月に確認された別のAnySign4PC水飲み場攻撃をLazarusに帰属させるレポートを公表しており、Kasperskyも類似のツールと手法を独自に文書化している。

影響と今後の見通し

被害を受けた組織の一部では大規模なデータベースが暗号化され、Gunraランサムウェアの展開と二重恐喝(窃取データをダークウェブのリークサイトで公開する手口)にまでエスカレートした事例も確認されている。Gunraとの技術的な重複は見られるものの、同一の攻撃者グループによる実行かは確立されていない。韓国では金融・行政サービスの利用に特定のセキュリティソフトの導入が事実上義務付けられており、こうしたローカルソフトウェアが攻撃対象領域を広げる構造的なリスクとして改めて浮き彫りになった。セキュリティ企業は、疑わしいDLLロードや暗号化されたレジストリblobの検出を含む侵害調査(ハンティング)を呼びかけている。