Notepad++ プラグインを侵害する脅威アクター：WinRAR／7-Zip などの古い脆弱性を悪用

Hackers Abuse Notepad++ Plugins to Compromise Your System Silently

2026/07/23 CyberSecurityNews — 正規の Notepad++ プラグインをハイジャックした脅威クラスター UAC-0099 が、被害者のマシンへ密かにマルウェアを植え込むという、ステルス性の高い新たなキャンペーンが確認された。この攻撃は、2026年における同グループの戦術の重大な進化を示している。

Ukraine の CERT-UA が発見した感染は、画像を添付したフィッシング・メールから始まる。その画像は、”Attachments to розпорядження.zip” といった ZIP アーカイブをホストするファイル共有プラットフォームに、URL 短縮サービスを経由してリンクしている。

内部には、PDF に偽装された二重拡張子の VBS スクリプトが含まれている。多くのケースにおいて、実際の “.vbs” 拡張子の前に余分なスペースが挿入され、不注意な読者を騙すようになっている。

ハッカーが Notepad++ プラグインを悪用

このスクリプトが起動されると、デコイ文書と “Evernote.zip” パッケージを取得する。このパッケージには、Notepad++ 8.8.3 の完全なコピーと、トロイの木馬化されたプラグイン・フォルダが含まれている。


本当の危険は “/plugins/NppExport/” の中に隠れており、”NppExport.dll” という不正なライブラリが、正規のプラグイン・ファイルを置き換える。この VBS スクリプトは “%PUBLIC%” 配下にランダム化されたディレクトリを作成し、アーカイブを展開し、”notepad++.exe” を実行する。エディタが起動した瞬間に、改竄された DLL が自動的にロードされるため、攻撃者は典型的なセキュリティ・アラートを発火させることなくコード実行を得る。

この Notepad++ のプラグイン・ロード挙動の悪用は、バージョン 8.8.3 に影響するものであり、以前に公表された CVE-2025-56383 DLL hijacking の問題を想起させる。ただし CERT-UA が指摘するのは、この CVE に異議を唱える Notepad++ チームが、欠陥ではなく標準的なプラグイン・アーキテクチャだと述べている点だ。

悪意の “NppExport.dll” は LUNCHPOKE として追跡されている。このツールは隠し Libraries フォルダを作成し、”RemoteLibUpdater.exe” と “InitTest.dll” を取り込み、パスワードで保護された “updater.rar” を展開する。その後に、永続化を設定するために、Windows 自身の “schtasks.exe” をコピーする。

それにより、ランダム化された名前でスケジュール・タスクが登録され、”setup nodisplay” という引数を持つ “RemoteLibUpdater.exe” が 3 分ごとに再起動される。


“RemoteLibUpdater.exe” は BURNYBEAR と分類されており、その役割は “InitTest.dll” のロードにある。興味深いことに、BURNYBEAR が想定された引数なしで実行されると、RAM と CPU を意図的に消費するリソース枯渇ルーチンへ切り替わる。そこから推測されるのは、組み込みのアンチ分析またはデコイ・メカニズムの可能性である。

“InitTest.dll” は、アップグレードされた MATCHBOIL.V2 loader であることが判明した。この旧バージョンは、MATCHWOK や DRAGSTARE などのマルウェアと一緒に、以前の UAC-0099 キャンペーンで確認されていたものである。

今回の新バージョンも、スケジュール・タスクによる永続化／コマンド＆コントロール・アドレスを含むコンフィグ更新／追加ペイロードのダウンロードといった中核機能を保持している。その一方で、ダウンロード済みコンポーネントを展開するために、WinRAR を活用する仕組みを機能させている。したがって、標的システムに WinRAR がインストールされていない場合は、Dropbox からの取得が実行される。

防御側への要点
ComponentRole
LUNCHPOKE (NppExport.dll)Trojanized plugin, initial payload dropper
BURNYBEAR (RemoteLibUpdater.exe)Loader for MATCHBOIL, resource-exhaustion fallback
MATCHBOIL.V2 (InitTest.dll)Persistence, C2 config updates, secondary payload delivery

CERT-UA が管理者に対して強く推奨するのは、一般的なソフトウェアをパッチ適用済みの状態に保つことである。この脅威クラスターは、初期侵害のために古いインストール環境を日常的に悪用している。2026年7月21日の時点で、現在の安全なバージョンとして挙げられるのは WinRAR 7.23／7-Zip 26.02／Notepad++ 8.9.7 であり、エンタープライズ環境全体で直ちに確認すべきである。

ユーザー組織にとって必要なことは、政府や自治体の通信に言及する予期しない ZIP 添付ファイルを、強い疑いをもって扱うことである。また、アプリケーション／プラグインのディレクトリ内にある不正な DLL を監視し、ランダム化された名前や異常な命名パターンを持つスケジュールタスクを、継続中の UAC-0099 キャンペーンの潜在的な指標としてフラグ付けすべきである。

訳者後書：テキストエディタである Notepad++ において、プラグインを取り込む構造を悪用し、不正なプログラムを実行させる攻撃手法が確認されました。メールなどを経由して外部から入手したファイルを開くことで、不正な処理が秘密裏に動かされ、外部からリモート操作される危険性があります。安全に利用するためにも、設定を確認して不要なプラグインを読み込まないようにし、見覚えのない添付ファイルやリンクを安易に開かないよう注意することが大切です。