ロシアのハッカーが7-Zipゼロデイを悪用してウクライナを標的に
ロシアの脅威アクターが、7-Zip のゼロデイ脆弱性を悪用し、ウクライナ政府機関に侵入したことが判明した。CVE-2025-0411 として追跡されているこの欠陥により、攻撃者は Windows の Mark-of-the-Web (MoTW) 保護を回避し、検出されずに悪意のあるペイロードを配信できるようになった。
Table of Contents
7-Zip ゼロデイとその悪用
CVSSスコア7.0のこの脆弱性は、2024年9月に初めて発見され、7-Zipバージョン24.09がリリースされた2024年11月まで修正されませんでした。これは、7-ZipがMoTWの伝播を処理する方法の欠陥に起因しています。
MoTW は、信頼できないソースからダウンロードされたファイルについてユーザーに警告するように設計された Windows セキュリティ メカニズムです。しかし、7-Zip はアーカイブから抽出されたファイルに MoTW 保護を拡張できなかったため、攻撃者は二重アーカイブ ファイルにマルウェアをパッケージ化できました。被害者がこれらのファイルを抽出して開くと、セキュリティ警告がトリガーされることなく、悪意のあるペイロードが実行される可能性があります。
SmokeLoader キャンペーンはウクライナの組織をターゲットに
トレンドマイクロのセキュリティ研究者は、ロシアと連携したサイバー犯罪者が、サイバースパイ活動に使用される有名なマルウェアローダーであるSmokeLoaderを展開するキャンペーンでCVE-2025-0411を悪用したことを確認しました。
攻撃者は、ウクライナの政府機関や企業に、悪意のあるアーカイブを含む罠を仕掛けたメールの添付ファイルを送信しました。これらのメールは、ウクライナ司法省の支局であるウクライナ国家行政サービス (SES) のアカウントなど、以前に侵害されたウクライナのアカウントから発信されたものでした。
攻撃をより巧妙にするために、ハッカーはホモグリフ攻撃を使用しました。これは、特定の文字を視覚的に類似した文字に置き換える手法です。この場合、キリル文字の「Es」が置き換えられ、内部アーカイブが Word 文書 (.doc) として表示されるようになりました。これにより、受信者はファイルを開かされ、知らないうちにエクスプロイトが実行されました。
誰がターゲットになったのか?
トレンドマイクロの調査により、この攻撃の標的となったウクライナの組織が複数特定されました。
- SES（ウクライナ国家行政サービス）
- PrJSC ZAZ（ザポリージャ自動車工場）
- Kyivpastrans（キエフの公共交通機関）
- キエフ水道公社（キエフの水道サービス）
- SEA（電子機器メーカー）
- ヴェルホヴィナ地区州行政
- VUSA（保険会社）
- ドニプロ地方薬局
- ザリシチキ市議会
研究者らは、このリストは網羅的なものではなく、さらに多くの組織が標的にされた可能性があると考えている。攻撃者は、サイバーセキュリティの防御が弱いことが多い小規模な政府機関に狙いを定めた。侵害されたこれらの組織は、その後、より大きな政府ネットワークに侵入するための踏み台として利用される可能性がある。
防御策とパッチ適用
7-Zip を使用している組織は、CVE-2025-0411 を修正するために、直ちにバージョン 24.09 に更新する必要があります。また、ユーザーは、電子メールからアーカイブされたファイル、特に不明なソースや予期しないソースからのファイルを開く際には注意が必要です。
ウクライナは依然としてロシアのサイバー攻撃の主要ターゲットであり、ソフトウェアの脆弱性を悪用することはサイバー戦争における重要な戦術であり続けています。攻撃者が技術を改良し続ける中、将来の脅威を軽減するには警戒と迅速なパッチ適用が不可欠です。
