ロシア系ハッカー集団、偽のNotepad++プラグインでウクライナを標的に
2026年7月27日 10:26
ウクライナのコンピュータ緊急対応チーム（CERT-UA）は、ロシア系脅威グループ（ハッカー集団）「UAC-0099」が偽のNotepad++プラグインを悪用してマルウェアを展開していると警告した。この攻撃によって得られた初期アクセスが、破壊的なサイバー攻撃で知られる「Sandworm」に引き渡される可能性がある。Notepad++を利用する組織は、最新版へのアップデートとプラグインディレクトリの監視を直ちに行う必要がある。
■ウクライナCERTが警告する新たな攻撃手法
ウクライナのコンピュータ緊急対応チーム（CERT-UA）は2026年7月24日、ロシア寄りの脅威グループ「UAC-0099」が偽のNotepad++プラグイン内にマルウェアを隠し始めたとする警告を発した。これは、ウクライナの政府および国防組織を狙って4年間にわたり続いてきた攻撃手法の大幅な高度化を意味する。2026年夏の半ばから活動しているこのキャンペーンでは、3つの新たな悪意あるツールが導入されている。また、正規のプラグインエコシステムを損なわずにパッチで排除することができない、人気テキストエディタの機能が悪用されている。
この手法そのものよりも警戒すべきなのは、それが何を予兆している可能性があるかという点だ。ESETのセキュリティ研究者とMandiantのアナリストは、UAC-0099が「APT44」の初期アクセスブローカーとして活動していることを報告している。APT44は、2017年のNotPetya攻撃や複数回にわたるウクライナの電力網停止に関与したことで知られる、ロシア軍参謀本部情報総局（GRU）の部隊「Sandworm」の別名である。UAC-0099はウクライナの国防・政府ネットワークに侵入すると、得られたアクセスをSandwormに引き渡し、後続の作戦に利用させる。これまでの後続作戦には、ウクライナの大学、エネルギー企業、穀物関連組織に対するデータ消去型のワイパーマルウェアの展開が含まれている。スパイ活動用のインフラに見えるものが、破壊的なキャンペーンの第一手である可能性がある。
■相次いで標的となったNotepad++：国家支援アクターが同じエディタを狙う理由
Notepad++が国家主導のサイバー作戦の中心となった事例は、これだけではない。2025年6月から12月にかけて、中国の国家支援グループ「Lotus Blossom」（別名Billbug、Raspberry Typhoon）が同エディタの公式アップデート配信インフラを侵害し、乗っ取った配信経路を利用して、「Chrysalis」と呼ばれる、それまで文書化されていなかったバックドアをベトナム、フィリピン、エルサルバドル、オーストラリアの標的組織に配信した。Rapid7は分析を通じて、この攻撃をLotus Blossomによるものと判断し、感染チェーンの全体を報告している。Tenableが2026年2月のサプライチェーン攻撃に関するFAQで確認したように、この攻撃ではCVE-2025-15556が悪用され、バージョン8.8.9のリリースによって修正された。その後、Notepad++の開発者はアップデート機構にXMLデジタル署名の検証機能を追加した。
UAC-0099の手法は技術的に異なり、Notepad++のアップデートインフラを侵害するものではない。代わりに、旧バージョンのエディタ（バージョン8.8.3）と悪意あるプラグインDLLを同梱し、パッケージ全体をフィッシングのペイロードとして配信する。互いに無関係な2つの国家支援グループが12カ月以内に同じアプリケーションを攻撃に利用したことは、Notepad++がインストールされている組織にとって重要な意味を持つ。同アプリケーションのプラグインアーキテクチャは、認知された攻撃対象領域（アタックサーフェス）となっており、最新の状態に保つことは単なる利便性の問題ではなく、セキュリティ上の要件になっている。
■攻撃チェーンの実際の動作
感染は、画像が添付されているように見えるフィッシングメールから始まる。画像をクリックすると、受信者は気づかないうちにURL短縮サービスを経由し、EasySend[.]coなどのファイル共有プラットフォームへリダイレクトされる。そこにはダウンロード用のZIPアーカイブが置かれている。BleepingComputerの報道によると、実際の攻撃では「Attachments to rozporyadjennya.zip」などのファイル名が確認されている。「rozporyadjennya」はウクライナ語で「命令」や「指令」を意味し、政府の正式な通信を装うことで、誘導の信憑性を高めている。
ZIPファイルの中には、PDF文書に偽装されたVisual Basic Script（VBScript）が含まれている。ファイル名に大量の空白を挿入し、プレビュー時に「.vbs」という拡張子が途中で切れて表示されるようにすることで、偽装を強化している。これはUAC-0099が以前のキャンペーンでも使用した手法である。被害者がPDFと思われるファイルを開こうとすると、おとりの文書が表示される一方、スクリプトはバックグラウンドで「Evernote.zip」という2つ目のアーカイブを取得する。
この2つ目のアーカイブには、以下の4つのコンポーネントが含まれている。Notepad++バージョン8.8.3の完全かつ正規のコピー、アプリケーションのプラグインディレクトリに配置される「NppExport.dll」（コードネーム：LUNCHPOKE）という悪意あるDLL、「updater.rar」というパスワード保護されたアーカイブ、正規のWinRAR実行ファイルである。
VBScriptはすべてのコンポーネントをランダムな名前のディレクトリに展開し、Notepad++を起動する。通常どおり動作するエディタは、本来のプラグイン読み込み機構を通じてNppExport.dllを自動的に読み込む。追加のユーザー操作は必要ない。
■DLLサイドローディング：機能が武器に変わる理由
UAC-0099が悪用している手法は、DLLサイドローディングと呼ばれる。Notepad++は、アプリケーションの起動時に、所定のプラグインサブディレクトリに置かれたDLLを読み込む。これは文書化された仕様どおりの動作であり、プラグインエコシステムを機能させるためのものだ。攻撃者は、Windowsやセキュリティツールが署名済みで広く認識されている実行ファイル（notepad++.exe）に与える信頼を悪用し、その信頼されたプロセスに正規のDLLではなく悪意あるDLLを読み込ませる。
NIST（米国立標準技術研究所）の国家脆弱性データベース（NVD）は、この動作に識別子「CVE-2025-56383」を割り当てたが、この登録内容には正式な異議が付されている。Notepad++の開発者は、この動作がリスクとなるのは、アプリケーションがデフォルトの「C:\Program Files」ではなく、ユーザーが書き込み可能なディレクトリにインストールされている場合に限られると主張している。また、そのようなディレクトリへの書き込み権限をすでに持つ攻撃者であれば、プラグインに限らず、どのようなマルウェアでも配置できるとしている。LevelBlue SpiderLabsの研究者も、この異議に同意している。一方、CyberProofの研究者はラボ環境で攻撃を再現し、プラグインDLLを置き換えると、notepad++.exeが起動時に任意のコードを実行するという実際の影響があることを確認した。
防御側にとっての実務上の意味は大きい。これは欠陥ではなく機能であるため、この攻撃経路を排除するパッチは存在しない。緩和策は振る舞いの監視と制御が中心となる。具体的には、プラグインディレクトリへの不正な変更を監視すること、Notepad++がプラグインを読み込めるディレクトリを制限すること、初期侵害後に作成されるスケジュールタスクや発生するネットワーク接続を検出することが求められる。
■新たなツールチェーン：LUNCHPOKE、BURNYBEAR、MATCHBOIL.V2
LUNCHPOKE（NppExport.dll）が読み込まれると、パスワード保護されたupdater.rarアーカイブを展開し、RemoteLibUpdater.exeとInitTest.dllという2つのファイルを追加で配置する。その後、RemoteLibUpdater.exeを3分ごとに実行するWindowsのスケジュールタスクを作成する。これにより、Notepad++が閉じられた後やシステムが再起動された後も、永続的なアクセスが維持される。
RemoteLibUpdater.exeは、CERT-UAが「BURNYBEAR」と名付けたバイナリである。これはInitTest.dllのローダーとして機能する。InitTest.dllは、このキャンペーンの中心的なペイロードである更新版C#ローダー「MATCHBOIL.V2」だ。
BURNYBEARには、解析を妨害する仕掛けが組み込まれている。自動化されたセキュリティサンドボックスが未知のバイナリを解析する際に行うことが多いように、想定されたコマンドライン引数を付けずにRemoteLibUpdater.exeを実行すると、悪意ある動作を明らかにする代わりに、システムのRAMとCPUを使い果たすよう設計されたロジックが起動する。これは意図的な防御回避手法（MITRE ATT&CK T1497）であり、単体で解析された場合には、単にプロセスを異常終了させるだけの無害なプログラムに見せかける一方、実際の攻撃環境では本来の機能を実行する。
MATCHBOIL.V2は、コマンド＆コントロール（C2）サーバーとの通信、ドメインとIPアドレスを切り替えるためのC2設定の更新、二次ペイロードのダウンロードと実行といった旧版の主要機能を維持しつつ、新たな依存関係を追加している。ダウンロードしたファイルの展開にWinRARを使用するようになった。標的のシステムにWinRARがインストールされていない場合、MATCHBOIL.V2はDropboxから直接取得する。これにより、被害者のシステムに導入済みのソフトウェアにかかわらず、ファイル展開機能を確保する。
■スパイ活動が破壊工作の入り口になる時
UAC-0099は主に破壊活動を行うグループではない。少なくとも2022年半ばから、ウクライナの政府機関、国防軍、防衛産業企業を対象に情報収集活動を続けてきたスパイ活動グループである。しかし、ESETの2025年第2～第3四半期のAPT活動レポートは、リスク評価を根本的に変える事実を報告している。2025年4月から9月にかけて、UAC-0099は初期アクセス作戦を実施した後、侵害に成功したシステムへの足掛かりをSandworm（APT44）に引き渡した。Sandwormはそれを利用し、ウクライナの大学、エネルギー企業、穀物関連組織にワイパーマルウェアを展開した。
MandiantのAPT44に関する正式なレポートも、UAC-0099をSandwormのために「エネルギー分野の標的へのアクセス獲得を目的とするマルウェア配信作戦を継続している」サブクラスターと位置付けている。APT44は、歴史上でも特に破壊的なサイバー攻撃の一部を実行してきたGRUの部隊である。2017年のNotPetyaワームは世界で100億ドル（約1兆6400億円、1ドル＝164円換算）を超える損害をもたらし、2015年と2016年のウクライナ電力網への攻撃では、数十万人の住民が停電の影響を受けた。
Notepad++を悪用した今回のキャンペーンによって侵害された組織は、単なるデータ窃取の標的ではない。ウクライナのインフラを狙うAPT44の次のワイパー作戦に向けた、潜在的な足場となる可能性がある。
■西側諸国への攻撃に向けたテスト環境としてのウクライナ
UAC-0099に関する情報開示と同じ日、米国の情報・セキュリティ機関と十数カ国の同盟国は、別の共同アドバイザリを発表した。このアドバイザリは、西側諸国の政府、防衛関連企業、米国の核融合研究者が使用するZimbraメールサーバーを、別のロシア関連グループ「Laundry Bear」（別名Void Blizzard、CL-STA-1114）が標的にしていると警告するものだった。CISA（米サイバーセキュリティ・社会基盤安全保障庁）が調整したこの共同アドバイザリによると、このキャンペーンは、被害者がリンクをクリックせず、悪意あるメールを表示するだけで成立する「ハーフクリック」エクスプロイトを使用していた。
この共同アドバイザリは、セキュリティ研究者が長年にわたり観察してきた傾向を明示した。ロシアのサイバー脅威グループが、NATO同盟国に対して手法を展開する前に、ウクライナをテスト環境として利用しているというものだ。アドバイザリは、「米国や他のNATO同盟国に対して使用する前にウクライナを広範に標的とすることは、ロシアのサイバー脅威グループの間で、優先標的として、また、より広範な世界展開に先立って悪意あるサイバー手法を試すテスト環境として、まずウクライナのユーザーを狙う傾向が強まっていることを示している」と述べている。
このパターンについては、NATOの北大西洋理事会も確認している。同理事会は2026年7月13日、ロシアの悪意あるサイバー活動を「同盟国の安全保障に対する脅威」と表現し、正式に非難した。
UAC-0099によるNotepad++キャンペーンは、このパターンに合致する。信頼されたアプリケーションのプラグインAPIを介したDLLサイドローディングは、拡張機能に対応したWindowsソフトウェアを使用する組織であれば、場所を問わず成立し得る手法である。これは世界中の大部分の組織に当てはまる。
■今すぐ講じるべき防御策
CERT-UAは、特にウクライナの政府および国防関連組織に向けて具体的なガイダンスを発表した。これはNotepad++が導入されている他の企業にも同様に適用できる。
組織は直ちにNotepad++をバージョン8.9.7に、WinRARを7.23に、7-Zipを26.02にアップデートすべきである。UAC-0099のキャンペーンでは、現行リリースより3つのメジャーバージョンが古いとされるNotepad++ 8.8.3が特に悪用されている。
一方的に送られてきたZIP添付ファイル、特に政府の指令、裁判所の召喚状、自治体からの通知に言及しているものは、強く警戒する必要がある。ファイル名に空白を挿入して、実際には「.vbs」であるファイルを「.pdf」で終わるように見せかける手口は、UAC-0099が繰り返し使用している特徴である。
Notepad++のプラグインディレクトリに不正なDLLがないか監視する必要がある。具体的な侵害の痕跡（IoC）は、既知の正規インストーラー以外によってプラグインディレクトリに配置されたNppExport.dllである。セキュリティチームは、Notepad++が標準のインストール先ではなく、ユーザーが書き込み可能なディレクトリや一時ディレクトリから実行されている事例にも注意すべきだ。
実行間隔が極端に短いスケジュールタスクを検知する必要がある。特に、RemoteLibUpdater.exeや見慣れないパスにある類似名称の実行ファイルを3分間隔で起動するタスクは警戒すべきである。
企業ネットワーク上の異常なDropbox通信も監視する必要がある。MATCHBOIL.V2は、WinRARがインストールされていない場合、その取得にDropboxを使用する。InitTest.dllに起因する外部への通信も、具体的な侵害指標となる。
■どのバージョンのNotepad++なら安全か？
CERT-UAのアドバイザリと現在利用可能な脅威インテリジェンスは、UAC-0099の攻撃で配信された特定のビルドとして、バージョン8.8.3を明確に示している。2025年のLotus Blossomによるサプライチェーン攻撃は、8.8.9より前のバージョンに影響した。Notepad++ 8.9.7は現行リリースであり、いずれのキャンペーンでも標的になっているとは確認されていない。ただし、組織が使用しているバージョンにかかわらず、プラグインディレクトリの監視とスケジュールタスクの検出に関する対策は共通して適用される。プラグイン読み込み機構は、すべてのバージョンに存在するためだ。
■注目ポイントQ&A
●DLLサイドローディングとは何ですか？なぜパッチで修正できないのですか？
DLLサイドローディングとは、正規のアプリケーションが起動時に自動的に読み込む場所に、悪意あるコードライブラリ（DLL）を配置する攻撃手法です。Notepad++は通常の動作の一部として、プラグインディレクトリで見つけたDLLを読み込みます。これはプラグインエコシステムを機能させるための機能です。プログラム上の誤りではなく設計された動作であるため、これを排除するソフトウェアパッチは存在しません。有効な防御策は運用面での対策です。そのディレクトリに配置されるDLLを監視し、書き込みアクセスを制限するとともに、サイドローディング成功後に生じる永続化の痕跡であるスケジュールタスクや異常なネットワーク通信を検出する必要があります。
●UAC-0099のキャンペーンは、Lotus BlossomによるNotepad++攻撃とどう違うのですか？
Lotus Blossomの攻撃（2025年6月～12月）は、Notepad++の公式アップデートインフラを侵害し、正規のソフトウェアアップデートを傍受して、標的のユーザーをChrysalisバックドアを配信する悪意あるインストーラーへリダイレクトしました。これは、攻撃者が信頼されたアップデート経路に侵入するサプライチェーン攻撃です。一方、UAC-0099のキャンペーンは配信段階を悪用する攻撃です。旧バージョンのNotepad++と悪意あるプラグインを同梱し、フィッシングを通じてパッケージを配信します。2つの手法は異なりますが、どちらもユーザーがアプリケーションに寄せる信頼を悪用しています。Notepad++を最新に保ち、プラグインディレクトリを監視し、アップデートの完全性を検証する必要があります。
●この攻撃はウクライナ以外の組織にも影響を与える可能性がありますか？
はい。2026年7月24日に米国政府機関などが発表した共同アドバイザリは、ロシアのサイバーグループがNATO同盟国や西側組織に同じ手法を展開する前に、ウクライナの標的をテスト環境として利用していると明記しています。アプリケーションのプラグインディレクトリを介したDLLサイドローディングは、ウクライナに固有の脆弱性ではありません。Notepad++や同様の拡張可能なアプリケーションがインストールされているWindows環境であれば、どこでも成立する可能性があります。Notepad++ 8.9.7への更新やプラグインディレクトリの監視を行っていない米国、EU、その他のNATO諸国の組織も、同じ攻撃チェーンにさらされる可能性があります。
●Notepad++のプラグインフォルダに、自分でインストールしていないNppExport.dllを見つけた場合はどうすればよいですか？
進行中の侵害として扱ってください。影響を受けたシステムを直ちにネットワークから隔離し、再起動しないでください。再起動によって、スケジュールタスクがローダーを実行する可能性があります。インシデント対応チームまたは適切な専門知識を持つセキュリティ企業に連絡してください。システム内のディレクトリにRemoteLibUpdater.exeとInitTest.dllが存在しないか確認し、3分間隔で実行されるスケジュールタスクがないか調べてください。外部へのネットワーク接続を確認し、見慣れないC2サーバーとの通信や、既知のアプリケーションが開始したものではないDropbox通信がないか調査してください。インシデントは、自国のコンピュータ緊急対応チームにも報告してください。
元記事: Fake Notepad++ Plugin Hides Russian Malware Targeting Ukrainian Defense Teams