Security Response

I wrote Symantec's original blog post describing the discovery of Duqu. In that blog I use the term "industrial control system manufacturers" and (after discussions with a variety of parties) we want to change that term to "industrial industry manufacturers" to more accurately define where Duqu has been found. We already made this change to our paper.

Finding the correct term can sometimes be a challenge. When we first wrote about Stuxnet, we originally used the term SCADA (supervisory control and data acquisition) and quickly discovered the proper term was "industrial control systems". In the computer security industry, we actually have specific definitions of viruses, worms, and trojans, while the general public often refer to any malware as just a virus. (In an unrelated...

2011 年 10 月 14 日、シマンテックは国際的に強いつながりを持つある研究所から、Stuxnet に酷似したサンプルに関する警告を受け取りました。「~DQ」という接頭辞の付いたファイルが作成されることから、同研究所ではこの脅威を「Duqu（デュークー）」と命名しています。ヨーロッパにあるコンピュータシステムから復元したサンプルのほか、初期段階で判明した結果の詳しいレポートも、同研究所から提供していただきました。これには Duqu と Stuxnet を比較した解析結果も含まれており、シマンテックでもその結果を確認することができました。Duqu の一部は Stuxnet とほぼ同一ですが、目的はまったく異なっています。

Duqu は本質的に、Stuxnet に類した攻撃が将来的に発生する前兆と言えます。Duqu は Stuxnet と同じ作成者（もしくは Stuxnet のソースコードにアクセスできる何者か）によって作成されており、最新の Stuxnet ファイルが検出された後で作成されたと考えられます。Duqu の目的は、産業用制御システムメーカーなどの組織から機密データや資産を収集し、別の組織に対する将来的な攻撃を容易にすることにあります。攻撃者は、産業用制御施設に対する攻撃の実施に役立つ設計文書のような情報を探しています。

Duqu には産業用制御システムに関係するコードは含まれておらず、基本的にはリモートアクセス型のトロイの木馬（RAT）です。自己複製の機能もありません。シマンテックの遠隔計測によると、Duqu は限られた少数の組織から特定の資産を取得しようとする高度な標的型攻撃です。しかし、まだ検出されていない亜種を使った類似の方法で、他の組織に対しても攻撃がしかけられている可能性は否定できません。

攻撃者は...

ときおり、たった 1 つのマルウェアが世間の注目を浴びることがあります。（シマンテックのオフィスを別とすれば）給湯室の世間話で話題になるマルウェアは珍しいでしょうし、実際に歴史に残るほどのマルウェアとなれば、非常にまれです。発見から今月で 1 周年を迎えるあるマルウェアが、まさにそのまれなケースに該当します。

1 年前のほぼ今頃、ベラルーシのコンピュータセキュリティ企業が、Microsoft Windows の新しい脆弱性（.LNK の脆弱性）を悪用する悪質なコードを発見したと報告しました。同社もまさか、このマルウェアが世界を変えようとは思いもしなかったでしょう。

このマルウェアがゼロデイ脆弱性を悪用するという事実は重大でしたが、歴史に名を残すというほどではありませんでした。では、このマルウェアの何が特別だったのでしょうか。最初の発見を受けて、シマンテックは問題のマルウェアを詳しく解析しました。何千人時も費やして 500 KB のコードを解析した結果、.LNK の脆弱性は氷山の一角にすぎず、しかも氷山自体がきわめて危険であることが明らかになりました。

このマルウェアは、それまで知られていなかった .LNK の脆弱性を利用するだけでなく、さらに 3 つのゼロデイ脆弱性も悪用していました。同時に 4 つのゼロデイ脆弱性が狙われたというのも前代未聞でしたが、この脅威にはさらに、Windows のルートキット、初めて出現した PLC（プログラマブルロジックコントローラ）ルートキット、高度なウイルス対策回避技術、複雑なプロセスインジェクションとフックのためのコード、ネットワーク感染ルーチン、ピアツーピア更新、コマンド & コントロールインターフェースまで備えていました。これが、どのベンダーもかつて目撃したことのなかった複雑な脅威、Stuxnet です。

ここまででもセキュリティ関係者にとっては十分に衝撃的でしたが、それだけであれば、まだ「世界を変えた」と言うほどではなかったでしょう。Stuxnet が特に世界を震撼させたのは、それがデジタル世界を越えて一足飛びに現実の世界への侵入を図ったものだったからです。もちろん、情報を盗み出したり銀行口座情報を詐取したりするマルウェアは無数にありますが、...

最近盛んに議論されている標的型攻撃は、その名前が示すとおり、特定の個人や組織、企業、部門に向けて行われるサイバー攻撃です。『Symantec Intelligence Quarterly Report: October - December 2010（シマンテックインテリジェンス四半期レポート: 2010 年 10 月～ 12 月）』では、標的型攻撃の中でも、特に重要インフラに対するものを中心テーマとして取り上げています。

攻撃者はますます悪賢くなり、標的を研究して、攻撃を正規なものに見せかけようとしています。カスタマイズされた標的型攻撃は、標的のグループに影響を与えることを明確な目的として作成されている点で、他の攻撃よりも危険なものとなります。このようなカスタマイズされた攻撃を行う動機は、機密情報を盗み出して利益を得ることのほか、日常業務の妨害、さらには単なるいたずらまでさまざまです。このところ最もよく目にする標的型攻撃として Hydraq、Stuxnet、Night Dragon があります。

標的型攻撃

Hydraq（別名 Aurora）が初めて見つかり、企業ネットワークにアクセスして機密情報を盗み出すことが目的と思われる標的型攻撃の一部として使われたのは、今からちょうど 1 年前のことです。Hydraq は、電子メールの添付ファイルを経由してコンピュータに侵入したり、悪意のある Web サイトなどのその他の脅威によってダウンロードされたりします。Hydraq が実行されると、トロイの木馬によってバックドアがインストールされ、攻撃者はコンピュータを制御して、さまざまな行為を実行できるようになります。たとえば、ファイルの改ざん、実行、削除、悪意のあるファイルの実行のほか、最も深刻なものとして、侵入先の企業ネットワークにアクセスして、標的にさらなる攻撃を加えることが挙げられます。

昨年 7 月に注目を集めた Stuxnet は...