BYOVD「PoisonXドライバ」で日本組織を狙う標的型攻撃、LACが報告

「EDRを入れているのに、カーネルドライバまで悪用されたら防げないのでは？」
「経営層を名乗る人事メールが来たけど、これも標的型攻撃の入口？」

チップス

ボス、ラックのレポートで『PoisonXドライバ』っていうのが日本組織を狙ってるって出ていたんでしゅけど、ドライバを悪用ってどんな手口なんでしゅか？

ボス

BYOVDといってな。攻撃者は正規署名された脆弱なカーネルドライバを自分で持ち込んで、それを使ってEDRを無効化したりプロセスを隠したりするんだ。日本組織がはっきりと狙われている。

本記事ではラック・サイバー救急センターが2026年6月4日に公表したPoisonXキャンペーンの中身と、BYOVD（Bring Your Own Vulnerable Driver）に対する現実的な備えを整理します。

読み終えた時には、BYOVDという脅威モデルの理解と、自社でEDR運用と並行して整えたい対策が掴めます。

事件の概要：日本組織を狙うPoisonXキャンペーン

まずは攻撃の入口と、使われたマルウェアの構成を整理します。

経営層を装う人事メールから始まる攻撃チェーン

ラック・サイバー救急センターのレポートによれば、攻撃チェーンは経営層になりすました人事系のスピアフィッシングメールから始まります。
本文中のリンクはGoogle Cloud Storage経由で配布されており、被害者がファイルを取得・実行するとPXDropperと呼ばれるドロッパーが動作します。
正規クラウドの利用と人事テーマの組み合わせで、メールフィルタとユーザー双方の警戒を素通りしやすい設計です。

PXDropper・PoisonXドライバ・10FXRATの役割分担

このキャンペーンで使われる主要なコンポーネントは、以下の役割分担を持ちます。

チップス

正規署名のドライバを悪用されたら、Windowsが信頼してロードしちゃうから止められないんでしゅか？

ボス

そこがBYOVDの厄介な点だ。署名は正規でも、ドライバ自体に脆弱性を抱えている。Microsoftの脆弱ドライバブロックリスト適用と、ドライバロード時の挙動監視が要になる。

BYOVD時代の防御策と継続的な備え

続いて、本キャンペーンへの対策と、BYOVD全般に効く備えを整理します。

攻撃側は5月にも進化、ASUS・Microsoftドライバを悪用

レポートによれば、2026年5月にはPoisonX以外のドライバ、具体的にはASUSやMicrosoftが署名した正規ドライバを悪用する亜種が確認されています。
つまり、特定ドライバ名のブロックだけでは追いつかず、『どの正規ドライバが、誰によって、いつ持ち込まれたか』を観測する仕組みが要ります。
BYOVDは1回限りの戦術ではなく、攻撃者の道具箱に常備された手法だと捉える必要があります。

EDR運用と並行して整えたい三層の対策

BYOVDへの実務的な備えは、EDR一本足では不足し、入口・経路・カーネルの三層で組み合わせるのが定石です。
整備したい対策は以下のとおりです。

チップス

ドライバそのものをチェックする仕組みって、EDRだけじゃなくてWindowsの設定で持っているんでしゅね！

ボス

そうだな。ラックWATCHの本レポートは、IOCや観測技術まで踏み込んでいる。SOCの検知ルール整備の参考になるはずだ。

まとめ

PoisonXキャンペーンは、正規署名カーネルドライバを悪用するBYOVDが日本組織に対して実戦投入されている現実を突きつけます。
経営層を装う人事メール、正規クラウドの利用、サンドボックス検知、そして亜種への素早い切り替えという複合的な工夫が組み合わさり、従来のEDR一本足の防御を超えてきます。
入口・経路・カーネルの三層を整え、BYOVD時代の脅威に対応できる体制をいま整えていきましょう。