カンボジア標的の多段階攻撃でオープンソースRAT「Spark RAT」を展開 — 脆弱ドライバ悪用（BYOVD）で防御を無力化（Acronis TRU分析）

Acronisの脅威研究部門TRU（Threat Research Unit）は2026年8月26日、カンボジアの個人と組織を標的とする新たな攻撃キャンペーンを公表した。分析を担当したDarrel Virtusio氏とSubhajeet Singha氏によると、攻撃者はカンボジア向けにローカライズした誘引文書で侵入し、DLLサイドローディングやPNGに隠したシェルコードの復号、プロセス注入を連鎖させた後、**脆弱な正規ドライバを悪用するBYOVD（Bring Your Own Vulnerable Driver）でセキュリティ保護を無力化し、最終的にオープンソースの遠隔操作ツール「Spark RAT」**をメモリ上で実行していた。

本件は、正規ドライバの脆弱性とオープンソースRATを組み合わせ、多段階で痕跡を隠す現行の攻撃手法を示す事例だ。カンボジアに焦点を当てた局地的な誘引と、広く再利用可能なオープンソースツールの悪用が併存している点は、日本企業が海外拠点や取引先を通じて同様の手口に巻き込まれるリスクを考える上でも示唆に富む。

何が起きたか

TRUがハンティングの中で発見した検体は、複数の誘引テーマを持つアーカイブから始まる。Acronisが明らかにしたテーマは次のとおりだ。

• カンボジア政府の通知を装う文書
• 公衆衛生に関する告知
• 歯科検診の記録
• 不動産関連文書
• プロモーションや割引をうたう文書

攻撃者は幅広い層に刺さるよう誘引を分散させ、受取人が開封する確率を高めていた。アーカイブを開くと多段階の感染チェーンが動き出す。

TRUが整理したチェーンは、DLLサイドローディング、PNGファイルに隠蔽されたシェルコードの復号、プロセス注入、脆弱ドライバのインストールを含む。最終段階では**Spark RATがリフレクティブにロード（正規プロセスのメモリ上で直接展開）**され、外部からの遠隔操作が可能になる。

脆弱ドライバ悪用（BYOVD）で防御を止める

本キャンペーンの特徴は、OPSWAT AppRemoverに関連するドライバ「ardrv.sys」が持つ脆弱性をBYOVDで悪用した点だ。この脆弱性はCVE-2026-36425として2026年7月16日に公開された。バージョンv2017.10.02.1551以前のardrv.sysで、IOCTLハンドラ 0x2420031において権限検証が不十分で、ローカルの任意のユーザーがデバイスを開いてプロセス終了要求を送信できるというものだ。

Acronisによると、攻撃者はこのドライバをシステムに持ち込み、セキュリティ製品のプロセスを終了させて保護機能を無力化していた。脆弱な正規ドライバはマイクロソフトの署名を持つ場合もあり、通常のアプリケーションよりもシステム深部で動作できるため、攻撃者にとって防御回避の有力な手段となる。

TRUは本手法を、近年のアジア地域で観測されるSilver Fox系の脆弱ドライバ悪用の系譜とも位置付け、Check Point Researchの分析やCato CTRLの報告を参照している。

最終ペイロード「Spark RAT」とは

最終的に展開されたSpark RATは、Go言語などで実装されたオープンソースの遠隔アクセスツール（RAT）だ。GitHubでXZB-1248/Sparkとして公開され、ドイツのマルウェアデータベースMalpedia（win.spark_rat）にも登録されている。正規の管理用途にも使える一方、攻撃者は無償で入手・改変できる利点を悪用して攻撃基盤に転用する。

Acronisは、今回の検体が多段階で暗号化と隠蔽を重ね、最終段階までファイルとして痕跡を残しにくい構成だったと指摘している。PNGにシェルコードを隠す手法や、プロセス注入によるメモリ上実行は、ファイルベースの検知を回避する狙いがある。

背景と位置付け

本件で悪用されたardrv.sys（CVE-2026-36425）は、OPSWAT AppRemover v2017.10.02.1551以前に同梱されるバージョンで、IOCTL 0x2420031の権限検証不備が2026年7月16日に公開されている。Spark RATはGitHubで公開されたオープンソースで、誰でも入手・改変できる。Acronisが明らかにした政府通知や不動産文書といった日常的な誘引テーマは、業務文書と見分けがつきにくい。

カンボジアを標的とした局地的攻撃に見えても、手口そのものは業種や地域を問わず再利用可能だとAcronisの分析は示している。日本企業でも、海外拠点や現地パートナーとの文書交換を装う誘引や、取引先を経由したアーカイブの受領は起こり得る点が、今回の分析から分かる事実だ。

出典

• Acronis Threat Research Unit, Darrel Virtusio / Subhajeet Singha, “Cambodia-focused cluster uses multistage infection chain with localized lures” (2026-08-26) https://www.acronis.com/en/tru/posts/cambodia-focused-cluster-uses-multi-stage-infection-chain-with-localized-lures/
• CVE-2026-36425, OPSWAT AppRemover Driver Improper Access Control https://cvefeed.io/vuln/detail/CVE-2026-36425
• XZB-1248 / Spark (GitHub) https://github.com/XZB-1248/Spark
• Malpedia, win.spark_rat https://malpedia.caad.fkie.fraunhofer.de/details/win.spark_rat