韓国の必須ソフト「AnySign4PC」が攻撃経路に、ゼロデイ悪用が映す構造的リスク

韓国のオンラインバンキングや政府機関のウェブサイトで利用を求められるセキュリティソフト「AnySign4PC」のゼロデイ脆弱性が、国家支援ハッカーによって悪用されていたことが明らかになった。韓国の政府機関と民間セキュリティ企業が7月29日に共同アドバイザリを公開し、ニュースサイトなどを閲覧するだけでマルウェアに感染する手口を警告している。対象ソフトの利用者は、直ちに修正版（バージョン1.1.5.0）へアップデートする必要がある。

■韓国の必須セキュリティソフトがゼロデイ攻撃の標的に

韓国のオンラインバンキングや政府機関のウェブサイトを利用するため、数百万人の市民がインストールしている金融セキュリティソフトが、国家支援ハッカーによるゼロデイ攻撃の侵入経路として密かに悪用されていた。韓国の4つの政府機関と4つの民間セキュリティ企業が7月29日（現地時間）に発表した共同アドバイザリにより明らかになった。脆弱なバージョンの「AnySign4PC」を実行している状態で、信頼できるニュースメディアや病院のウェブサイトを訪問するだけで、警告やダウンロードの確認、ユーザーによる操作を一切伴わずマルウェアに感染するという。

アドバイザリと同時に公開された韓国AhnLabのレポート「Operation Double Barrel」では、ニュースメディア、医療機関、教育機関、製造業など、侵害された韓国のウェブサイト15件が挙げられており、2025年から2026年にかけて72の組織で関連する攻撃が確認された。セキュリティ企業Plainbitによる別のフォレンジック調査では、攻撃者が標的組織の外部公開システムを調査してウェブサイトを侵害し、ウェブシェルを設置した上で、実際のニュース記事ページに悪意あるJavaScriptを挿入する手順が確認されている。これにより、訪問者の脆弱なAnySign4PCがセキュリティ警告を一切表示することなく、バックドアとなるDLLを生成していた。

アドバイザリは、このキャンペーンを国家支援によるものと特定している。AhnLabが2026年4月に発表した別のレポートでは、2026年3月に発生したAnySign4PCを悪用する水飲み場型攻撃を、北朝鮮の偵察総局傘下にある国家支援ハッカー集団「Lazarus」に直接帰属させている。広範なキャンペーンで展開されたツール「SIGNBT」（バージョン3.0、AhnLabの呼称では「Struggle」）と「COPPERHEDGE」（同「Brandoor」）は、KasperskyやFBIが過去に資料で取り上げたLazarusの攻撃ツールである。

■攻撃対象領域となった韓国の必須ソフトウェアエコシステム

このキャンペーンが一般的な水飲み場型攻撃と構造的に異なる理由を理解するには、AnySign4PCの性質を知る必要がある。これは単なる任意導入のソフトウェアではない。韓国のオンラインバンキングのポータルサイト、納税システム、政府サービスなどのウェブサイトでは、アクセスの条件として、デジタル署名ツール、キーロガー対策ソフト、証明書ベースの認証ユーティリティといったクライアント側セキュリティプログラムのインストールが求められる。AnySign4PCはそのようなツールのひとつであり、金融取引や政府サービスを利用するため、韓国のインターネット利用者の多くがインストールしている。

2025年に「Cross EX」と呼ばれる別の必須ツールを悪用したLazarusのキャンペーンを記録したKasperskyのグローバル調査分析チーム（GReAT）は、この構造を的確に説明している。これらのソフトウェアパッケージはブラウザと連携するため、バックグラウンドで常時稼働している。Lazarusはその仕組みを深く理解し、こうしたソフトウェアの脆弱性と水飲み場型攻撃を組み合わせる、韓国を狙った戦略を用いているという。

韓国インターネット振興院（KISA）が6月1日に公開したセキュリティ通知では、AnySign4PCのバージョン1.1.4.4から1.1.4.6に、リモートコード実行を可能にするバッファオーバーフロー脆弱性があるとし、修正版としてバージョン1.1.5.0を挙げている。7月29日のアドバイザリを共同発表した民間セキュリティ企業のひとつ、ENKI WhiteHatの分析によると、2025年後半から実際の攻撃での悪用が観測されていた。最初の悪用からパッチの公開まで、少なくとも6か月の期間があったことになる。

The Hacker Newsによると、2026年7月30日時点で、このバッファオーバーフロー脆弱性にはCVE識別子が割り当てられていない。公開脆弱性データベースに登録されているAnySign4PCの脆弱性は、古いバージョンに影響する無関係なディレクトリトラバーサル脆弱性「CVE-2020-7882」のみである。

■アンインストールによる回避が困難な理由

任意のソフトウェアに脆弱性が発見された場合、一般的な利用者向けの対策は、パッチが提供されるまでアンインストールするというシンプルなものだ。しかし、納税や政府サービスへのアクセス、オンラインバンキングにAnySign4PCを必要とする韓国の利用者には、構造上その選択肢がない。ソフトウェアを削除すれば、市民生活に欠かせない機能として依存しているシステムにアクセスできなくなる。これは利用者の行動上の過失ではなく、クライアント側ソフトウェアのインストールを義務付けながら、そこに生じる脆弱性を手動のアップデートで解消する仕組みに依存している規制構造の結果である。

KISAの6月1日の通知では、AnySign4PCを必要としない利用者には削除を、それ以外の利用者にはバージョン1.1.5.0へのアップデートを推奨している。このガイダンスは、ソフトウェアを削除しても支障がない人にとっては妥当だ。しかし、削除できない数百万人の利用者にとっては、AnySign4PCを最新バージョンに保つことが唯一の現実的な防御策となる。パッチ公開前に少なくとも6か月の悪用期間があったということは、キャンペーンが最も活発だった時期に、影響を受けた利用者の相当数が実行可能な対策を持っていなかったことを意味する。

■ニュースサイトを訪問するだけで感染する仕組み

AhnLabが記録したエクスプロイトチェーンは技術的に高度だが、被害者のマシンが侵害されるまでは、通常のウェブサイト訪問と見分けがつかない。

攻撃者はまず、標的組織のインターネット公開システムを調査してウェブサイトを特定し、侵入してウェブシェルを設置した。その後、標的組織の従業員や日常的な訪問者が読む可能性の高い正規ページ、たとえばニュース記事や病院の案内ページに、悪意あるJavaScriptを埋め込んだ。脆弱なAnySign4PCを使用している訪問者がそのページを読み込むと、スクリプトはローカルで稼働しているセキュリティソフトへのWebSocket接続を開き、画像転送を装った4段階の通信を開始した。4つのPNGファイルを使って鍵交換、インストール済みソフトウェアのバージョン確認、バージョン別のエクスプロイトコードの配信、実行が成功したかどうかの報告が行われた。

この通信によって引き起こされたバッファオーバーフローにより、攻撃者はシェルコードを実行し、被害者のマシン上に悪意あるDLLを作成できた。この過程で、プロンプトや警告、異常の発生を示す視覚的な兆候は一切表示されなかった。最終的なペイロードは、一部のインシデントではSyncHost.exe、別のインシデントではsvchost.exeという正規のMicrosoftプロセスに注入された。暗号化されたコマンド・アンド・コントロール情報はWindowsレジストリに保存され、バックドアはその後、攻撃者からの指示を待機した。この挙動は、本キャンペーンに関連する3つのマルウェアクラスターを調べたS2Wの分析で記録されている。

侵入後、攻撃者は「SIGNBT」または「COPPERHEDGE」のいずれかを展開したと「Operation Double Barrel」レポートは報告している。SIGNBTは、コマンド実行、ファイル窃取、内部偵察、追加ペイロードの配信を可能にするリモートアクセス型バックドアで、COPPERHEDGEも同様の機能を持つ別のバックドアだ。S2Wのクラスター分析では、DLLサイドローディング、レジストリに保存された暗号化データ、メモリ上での実行ファイルの読み込みという反復的なパターンが確認された。これらは、ディスク上に残るフォレンジック上の痕跡を最小限に抑える手法である。ENKIとPlainbitが記録した複数の侵入事例では、その後、Mimikatzなどの認証情報収集ツール、リモートデスクトッププロトコル（RDP）接続、パスワード攻撃用ツールのNLBrute、権限昇格エクスプロイトが使われ、被害組織のネットワーク内でラテラルムーブメントが行われていた。

■ランサムウェアグループとの関連性

AhnLabの「Operation Double Barrel」レポートで特に注目される発見のひとつが、国家支援によるスパイキャンペーンと、RaaS（Ransomware as a Service）プログラム「Gunra」に関連する別のランサムウェア作戦との重複である。

2026年3月、Gunraランサムウェアのオペレーターは、国家支援の攻撃で使われたものと同じ金融セキュリティソフトの同じ脆弱性を利用し、韓国の医療機関を侵害した。AhnLabの調査によると、2つの作戦は、侵害された同一の医療機関ウェブサイト、SyncHost.exeへのコードインジェクション手法、同一のSSH公開鍵フィンガープリント（Qr1to32lQHxEu6phzNyrTZrU0iElrOfVWMBLnqoen24）、同一のリバーストンネリング用アドレス（176.65.128[.]26）、同一のファイル配布ドメイン（jshosting[.]me）を共有していた。

AhnLabは、これらの証拠が2つのオペレーター集団の間に「技術的な関連がある可能性が高い」ことを示すと評価したが、両者が同一の攻撃者であるとの結論は明確に避けた。同社は、限定的な協力関係、ツールやインフラの共有、共通のアクセスブローカーの利用、同じ基盤リソースへの個別のアクセスなど、複数の可能性を挙げている。「Operation Double Barrel」レポートによると、こうした重複が示すのは、侵害されたウェブサイトから端末上でのコード実行に至る攻撃経路が共有または再利用されたという点までであり、単一の指揮系統が両方の作戦を統制していたことを裏付けるものではない。

GunraはRaaSプログラムとして運営されている。2026年3月9日時点で、Gunraのリークサイトには、韓国企業5社を含む世界32社が被害組織として掲載されていた。

この発見の意味は、個別の作戦間の重複だけにとどまらない。韓国の必須セキュリティソフトに存在するゼロデイ脆弱性は、いったん発見されれば非常に価値の高い攻撃資源になる。国家支援のスパイ集団と金銭目的の犯罪者を含む複数の脅威アクターが、直接の協力、ツールの共有、あるいは同じ侵入経路の個別利用によって、この脆弱性を悪用しようとする可能性があることを示している。

■長期的なパターンのなかに位置づけられる今回のキャンペーン

韓国当局が、Lazarusが同国の必須セキュリティソフトウェアのエコシステムを狙っていると警告したのは、7月29日のアドバイザリが初めてではない。この攻撃パターンは以前から記録されている。

2025年初頭、Kasperskyのグローバル調査分析チームは「Operation SyncHole」を明らかにした。この作戦でLazarusは、オンラインバンキング用の別の必須セキュリティツール「Cross EX」の脆弱性悪用と水飲み場型攻撃を組み合わせ、ソフトウェア、IT、金融、半導体製造、通信業界に属する韓国の少なくとも6組織を標的にした。このキャンペーンで確認されたすべてのインシデントには、同じ実行パターンと同じバージョンのCross EXが関与していた。Kasperskyは当時、このソフトウェアが広範に導入されていることから、確認された6組織以外にも多数の企業が侵害された可能性が高いとの見方を示していた。

さらに遡る2023年3月には、Lazarusが広く使用されているセキュリティ認証製品「MagicLine4NX」のゼロデイ脆弱性を悪用した。まずメディア組織を侵害し、そのウェブサイトを訪れた人の脆弱なインストール環境を利用して、マシンを遠隔操作できる状態にする水飲み場型攻撃だった。韓国の国家情報院（NIS）と英国の国家サイバーセキュリティセンター（NCSC）は、同年11月に公開した共同アドバイザリでこの攻撃を記録している。

作戦上の論理は、これら3つのキャンペーンで一貫している。Lazarusは、多数の韓国のマシンにインストールされている必須セキュリティ製品を選び、その脆弱性を発見し、標的層が訪問するアクセス数の多い正規ウェブサイトを侵害して待ち受ける。ソフトウェアが必須であることによって、大規模かつ構成の似通った攻撃対象領域が生まれている。Lazarusは少なくとも3年間にわたり、少なくとも3つの異なる製品を通じて、この構造を悪用してきた。

■個人および組織が取るべき対策

共同アドバイザリでは、個人利用者とセキュリティチームの双方に向けた緩和策が示されている。

個人利用者は、AnySign4PCを直ちにバージョン1.1.5.0へアップデートし、現在必要としていない場合は削除すべきである。AnySign4PCに限らず、すべてのソフトウェアを最新バージョンに保ち、重要なアカウントでは二要素認証を有効にする必要がある。また、予期しない送信元から届いたメールの添付ファイルを開いたり、リンクをクリックしたりしてはならない。既知の連絡先から送られてきたように見える場合も同様だ。共同アドバイザリによると、このキャンペーンでは求人や採用の連絡を装ったフィッシングも使われ、正規の採用担当者のアカウントを侵害して悪意あるメッセージを送信した例もあったという。

企業のセキュリティチームは、SIGNBTとCOPPERHEDGEに関連する振る舞いの痕跡を調査する必要がある。具体的には、正規の実行ファイルを利用したDLLサイドローディング、サービス関連のレジストリエントリに保存された暗号化データ、メモリ上での実行ファイルの読み込み、異常なサービスの作成、SyncHost.exeまたはsvchost.exeへのコードインジェクション、予期しない外向きのSSHトンネルなどである。マルウェアはシャットダウン時に重要なファイルを削除するアンチフォレンジック機能を備えているため、疑わしいプロセスを終了したりシステムを隔離したりする前に、プロセスメモリ、コマンドライン、レジストリ値を保存する必要がある。「Operation Double Barrel」レポートによると、管理記録にないリモートデスクトップツール（DWAgentなど）が導入されていないか、また、アップデートされていないAnySign4PCがシステム上に残っていないかを監査すべきだという。

AhnLabはまた、侵害された複数のウェブサイトが同じ開発・管理会社によって扱われていたことを確認し、レポートの中でサプライチェーン経由で侵害された可能性を挙げている。ただし、現時点で得られている証拠からは、その会社のソースコードやアップデートプロセス自体が侵害されていたとは立証できない。

■注目ポイントQ&A

●AnySign4PCは現在安全に使用できますか、それともアンインストールすべきですか？

KISAの2026年6月1日の通知では、バージョン1.1.4.4から1.1.4.6が脆弱であると特定され、修正版としてバージョン1.1.5.0が挙げられています。バージョン1.1.5.0がインストールされていれば、このキャンペーンで悪用されたバッファオーバーフロー脆弱性は修正されています。古いバージョンを使用している場合は、直ちにアップデートしてください。KISAは、現在必要としていない場合はソフトウェアを削除することも推奨しています。ただし、多くの韓国の利用者にとって、AnySign4PCはオンラインバンキングや政府サービスを利用するために必要であり、アンインストールが常に現実的とは限りません。使い続ける必要がある場合は、修正版へのアップデートが現実的に取れる唯一の防御策となります。

●ニュースサイトや病院のサイトを訪問しただけで、何もクリックしなくてもマルウェアに感染する可能性はありますか？

はい。特定の条件下では感染する可能性があり、このキャンペーンでは攻撃者がその条件を意図的に作り出していました。攻撃者は韓国の正規ウェブサイト15件を侵害し、実在するページに悪意あるコードを埋め込みました。「Operation Double Barrel」レポートによると、脆弱なバージョンのAnySign4PC（1.1.4.4から1.1.4.6）を実行している訪問者は自動的に感染しました。悪意あるスクリプトが、ローカルにインストールされたセキュリティソフトへのWebSocket接続を開き、バッファオーバーフローを発生させ、確認画面やダウンロード操作を伴わずにバックドアをインストールしたためです。一度エクスプロイトチェーンが始まると、慎重にブラウジングするだけでは防げません。利用者側で取れる対策は、AnySign4PCを修正版の1.1.5.0へアップデートすることです。

●国家支援ハッカーとGunraランサムウェアとの間にはどのような関係がありますか？

AhnLabの「Operation Double Barrel」レポートによると、2026年3月のGunraランサムウェアのインシデントでは、国家支援のスパイキャンペーンと同じ侵害済み医療機関ウェブサイト、同じ脆弱性、同じプロセスインジェクション手法（SyncHost.exe）、同じSSH公開鍵フィンガープリント、同じネットワークインフラが使われていました。同社はこれを「技術的な関連がある可能性が高い」と評価しましたが、両方の作戦が同一の攻撃者によって運営されていたとは結論付けていません。ツールの共有、共通のアクセスブローカーの利用、限定的な協力関係など、複数の説明が考えられます。Gunraは、韓国にも被害組織が確認されているRaaSプログラムです。この重複は、必須セキュリティソフトのゼロデイ脆弱性が発見されると、国家支援グループと犯罪者グループの双方を含む複数の脅威アクターが、同じ侵入経路を悪用する可能性があることを示しています。

●今回のキャンペーンは、過去のLazarusによる韓国のセキュリティソフトへの攻撃とどう違いますか？

Lazarusが韓国の必須金融セキュリティ製品を水飲み場型攻撃の侵入経路として悪用したのは、過去3年間で少なくとも今回が3回目です。韓国のNISと英国のNCSCが記録した2023年3月の攻撃では「MagicLine4NX」が標的となりました。2025年の「Operation SyncHole」では「Cross EX」が標的となり、今回のキャンペーンでは「AnySign4PC」が狙われました。各キャンペーンで使われた製品は異なりますが、広く導入された必須ツールのゼロデイ脆弱性を見つけ、アクセス数の多いウェブサイトを侵害し、訪問者の認証情報や文書を盗んだり、バックドアを設置したりするという構造は共通しています。この一貫したパターンは、複数のクライアント側セキュリティ製品のインストールを義務付ける韓国の規制が、製品を構造的に異なるソリューションへ置き換えるか、はるかに厳格な必須セキュリティ監査を導入するまで、Lazarusが繰り返し利用できる攻撃対象領域を生み出し続ける可能性を示しています。

元記事: State Hackers Made South Korea’s Mandatory Banking Software Into Zero-Day Weapon