Loading article…
| 炎 | |
|---|---|
| エイリアス | フレイマー、スカイワイパー、スカイワイパー |
| タイプ | マルウェア |
| 著者 | 方程式グループ |
| 技術的な詳細 | |
| プラットフォーム | ウィンドウズ |
| サイズ | 20MB |
| 書かれた | C++、Lua |
Flame [a] は、Flamer、sKyWIper [b]、Skywiper [2]とも呼ばれ、2012年に発見されたモジュール型のコンピュータマルウェア[3] [4]で、 Microsoft Windowsオペレーティングシステムを実行しているコンピュータを攻撃します。[5]このプログラムは、中東諸国での標的型サイバースパイ活動に使用されます。[1] [5] [6]
その発見は、イラン国立コンピュータ緊急対応チーム（CERT）のMAHERセンター[5] 、カスペルスキー研究所[6]、ブダペスト工科経済大学のCrySyS研究所[1]によって2012年5月28日に発表された。これらの研究所の最後の研究所は、報告書の中で、Flameは「間違いなく、私たちがこれまでに遭遇した中で最も洗練されたマルウェアであり、おそらく、これまでに発見された中で最も複雑なマルウェアである」と述べている。[1] Flameは、ローカルネットワーク（LAN）を介して他のシステムに拡散する可能性がある。音声、スクリーンショット、キーボード操作、ネットワークトラフィックを記録できる。[6]このプログラムはSkypeの会話も記録し、感染したコンピュータをBluetoothビーコンに変えて、近くのBluetooth対応デバイスから連絡先情報をダウンロードしようとする。[7]このデータは、ローカルに保存された文書とともに、世界中に散在するいくつかのコマンドアンドコントロールサーバーの1つに送信される。その後、プログラムはこれらのサーバーからのさらなる指示を待つ。 [6]
2012年5月のカスペルスキーの推定によると、Flameは当初約1,000台のマシンに感染し、[7]政府機関、教育機関、個人が被害者となった。[6]当時、感染の65%はイラン、イスラエル、パレスチナ、スーダン、シリア、レバノン、サウジアラビア、エジプトで発生し、[3] [6]「標的の大部分」はイラン国内にあった。[8] Flameはヨーロッパや北米でも報告されている。[9] Flameは、マルウェアの痕跡をすべてコンピューターから消去する「kill」コマンドをサポートしている。Flameの初期の感染は、公開された後に動作を停止し、「kill」コマンドが送信された。[10]
Flame は、Kaspersky Lab によってEquation Groupと関連付けられています。しかし、Kaspersky Lab のグローバル調査分析チームのディレクターである Costin Raiu 氏は、このグループが Flame とStuxnetの作成者と協力するのは、優位な立場にあるからに過ぎないと考えています。「Equation Group は間違いなくマスターであり、他のグループにパンくずを与えているだけかもしれません。時々、Stuxnet と Flame に統合するためのお宝を与えています。」[11]
最近の調査によると、Flameは歴史上最も重要かつ複雑なサイバースパイツールの1つとして記憶されるだろうとされています。Flameは洗練された戦略を使用して、本物のMicrosoftセキュリティ証明書を偽造し、中東の多数のコンピューターに侵入することに成功しました。[12]
2019年、研究者のフアン・アンドレス・ゲレロ・サーデとサイラス・カトラーは、Flameの復活を発見したと発表した。[13] [14]攻撃者は「タイムストンプ」[説明が必要]を使用して、新しいサンプルが「自殺」コマンドの前に作成されたように見せかけた。しかし、コンパイルエラーには実際のコンパイル日（ 2014年頃）が含まれていた。新しいバージョン（研究者によって「Flame 2.0」と名付けられた）には、その機能を隠すための新しい暗号化と難読化のメカニズムが含まれている。[15]
歴史
Flame (別名 Da Flame) は、イラン国立 CERT の MAHER センター、Kaspersky Lab、ブダペスト工科経済大学の CrySyS Lab (暗号とシステムセキュリティの研究所) によって 2012 年 5 月に特定されました。これは、Kaspersky Lab が国連国際電気通信連合からイラン石油省のコンピューターに感染したウイルスの報告を調査するよう依頼されたときのことでした。 [7] Kaspersky Lab が調査したところ、中東諸国の顧客のマシンにのみ出現するMD5 ハッシュとファイル名が見つかりました。さらに詳細が判明した後、研究者はツールキット内の主要モジュールの 1 つ[FROG.DefaultAttacks.A-InstallFlame]にちなんで、このプログラムを「Flame」と名付けました。[7]
カスペルスキーによれば、Flameは少なくとも2010年2月から実際に活動していた。[6] CrySyS Labは、メインコンポーネントのファイル名が2007年12月には確認されていたと報告している。[1]ただし、マルウェアのモジュールの作成日が1994年という早い日付に誤って設定されているため、作成日を直接特定することはできなかった。[7]
コンピュータの専門家は、2012年4月にイラン当局が石油ターミナルをインターネットから切断する原因となった攻撃は、このマルウェアによるものだと考えている。[16]当時、イラン学生通信社は、この攻撃を引き起こしたマルウェアを「ワイパー」と呼んでいたが、これはマルウェアの作成者が付けた名前である。[17]しかし、カスペルスキー研究所は、Flameはワイパーマルウェアとは「完全に別の感染」である可能性があると考えている。[7]このプログラムの規模と複雑さは、Stuxnetの「20倍」複雑であると説明されており、研究所は完全な分析には10年ほどかかる可能性があると述べた。[7]
5月28日、イランのCERTは、Flameの検出プログラムと削除ツールを開発し、数週間にわたって「選ばれた組織」に配布していたと発表した。[7] Flameがニュースメディアで暴露された後、シマンテックは6月8日に、Flameのコマンドアンドコントロール（C＆C）コンピュータの一部が、感染したPCにFlameの痕跡をすべて削除するために「自殺」コマンドを送信したと報告した。[10]プログラムのコピーと関連ファイルはすべて削除された。[18]
2012年5月のカスペルスキー社の推定によると、当初Flameは約1,000台のマシンに感染し、[7]政府機関、教育機関、個人などが被害者となった。[6]当時最も被害を受けた国はイラン、イスラエル、パレスチナ自治区、スーダン、シリア、レバノン、サウジアラビア、エジプトであった。[3] [6] FlameマルウェアのサンプルはGitHubで入手可能。
手術
Flameは20 メガバイトと、マルウェアとしては異例の大型プログラムである。一部はLuaスクリプト言語で書かれており、コンパイルされたC++コードがリンクされており、最初の感染後に他の攻撃モジュールをロードできる。[6] [19]このマルウェアは5つの異なる暗号化方法とSQLiteデータベースを使用して構造化情報を保存している。[1]さまざまなプロセスにコードを挿入するために使用される方法はステルス性が高く、マルウェアモジュールはプロセスにロードされたモジュールのリストに表示されず、マルウェアのメモリページはREAD、WRITE、およびEXECUTE権限で保護されているため、ユーザーモードのアプリケーションからはアクセスできない。[1]内部コードは他のマルウェアとの類似点がほとんどないが、以前にStuxnetがシステムに感染するために使用したのと同じ2つのセキュリティ脆弱性を悪用する。[c] [1]このマルウェアはインストールされているウイルス対策ソフトウェアを判別し、そのソフトウェアに検出される可能性を減らすために自身の動作をカスタマイズする（たとえば、使用するファイル名拡張子を変更する） [1]追加の侵害の兆候には、マルウェアが侵害されたシステム上で持続性を維持するために使用する偽のオーディオドライバーのインストールなど、ミューテックスとレジストリのアクティビティが含まれます。 [19]
Flameは自動的に非アクティブ化するようには設計されていないが、コントローラからモジュールを受信するとシステムからファイルと操作のすべての痕跡を削除する「kill」機能をサポートしている。[7]
Flame は、Microsoft Enforced Licensing Intermediate PCA 証明機関からの偽造証明書で署名されていました。 [20]マルウェア作成者は、コード署名が誤って有効になっていて、依然として弱いMD5ハッシュ アルゴリズムを使用している Microsoft Terminal Server Licensing Service 証明書を特定し、その証明書の偽造コピーを作成してマルウェアの一部コンポーネントに署名し、Microsoft から発信されたように見せかけました。[20]証明書に対する衝突攻撃が成功したことは 2008 年にすでに実証されていますが、 [21] Flame は選択されたプレフィックス衝突攻撃の新しいバリエーションを実装しました。[22]
展開
これまで知られていたサイバー兵器のStuxnetやDuquと同様に、Flame は標的を絞って使用され、ルートキット機能によって現在のセキュリティ ソフトウェアを回避することができます。システムが感染すると、Flame はローカル ネットワークまたは USB スティック経由で他のシステムに拡散します。音声、スクリーンショット、キーボード操作、ネットワーク トラフィックを記録できます。[6]このプログラムは Skype の会話も記録し、感染したコンピューターを Bluetooth ビーコンに変えて、近くの Bluetooth 対応デバイスから連絡先情報をダウンロードしようとします。[7]このデータは、ローカルに保存されたドキュメントとともに、世界中に点在する複数のコマンド アンド コントロール サーバーの 1 つに送信されます。その後、プログラムはこれらのサーバーからのさらなる指示を待ちます。[6]
産業プロセスを妨害するために設計されたStuxnetとは異なり、Flameは純粋にスパイ活動のために作成されたようです。[23]特定の業界をターゲットにしているのではなく、「一般的なサイバースパイ活動の目的で設計された完全な攻撃ツールキット」です。[24]
カスペルスキーはシンクホールと呼ばれる技術を使用して、「標的の大部分」がイラン国内にあり、攻撃者は特にAutoCADの図面、PDF、テキストファイルを探していたことを実証した。[8]コンピューティングの専門家は、このプログラムは諜報目的で技術図を収集しているようだと述べた。[8]
アジア、ヨーロッパ、北米にまたがる80台のサーバーのネットワークが、感染したマシンへのリモートアクセスに使用されました。[25]
起源
2012年6月19日、ワシントンポスト紙は、 Flameは少なくとも5年前に米国国家安全保障局、CIA 、イスラエル軍によって共同開発されたと主張する記事を掲載した。このプロジェクトは、イランの核開発を遅らせることを目的としたサイバー破壊活動に備えて情報収集を行うことを目的とした、コード名「オリンピック・ゲームズ」の機密プロジェクトの一部であると言われていた。[26]
カスペルスキーのチーフマルウェア専門家によると、「標的の地理的特徴と脅威の複雑さから、この研究を支援したのが国家であることに疑いの余地はない」とのことだ。[3]カスペルスキーは当初、このマルウェアは Stuxnet とは似ても似つかないとしていたが、同じ攻撃者が委託した並行プロジェクトだった可能性もある。[27]カスペルスキーはその後、コードをさらに分析した結果、Flame と Stuxnet の間には強い関係があると述べた。Stuxnet の初期バージョンには、USB ドライブ経由で拡散するコードが含まれていたが、これは同じゼロデイ脆弱性 を悪用する Flame モジュールとほぼ同じだった。[28]
イランのCERTは、このマルウェアの暗号化は「イスラエルから来たものしか見られない特別なパターン」であると述べた。[29] デイリー・テレグラフ紙は、イラン、シリア、ヨルダン川西岸を含むFlameの明らかな標的のため、イスラエルが「多くの評論家の主な容疑者」になったと報じた。他の評論家は、米国を犯人の可能性があると名指しした。[27]イスラエルの政策に批判的な評論家 リチャード・シルバースタインは、このマルウェアはイスラエルのコンピュータ専門家によって作成されたことを「イスラエルの上級情報源」から確認したと主張した。[27] エルサレム・ポスト紙は、イスラエルのモシェ・ヤアロン副首相が自国政府の責任を示唆したようだと書いたが、[27]イスラエルのスポークスマンは後に、これは示唆されたものではないと否定した。[30]匿名のイスラエルのセキュリティ当局者は、イスラエルで見つかった感染マシンは、ウイルスが米国または他の西側諸国にまでさかのぼることができることを示唆している可能性があると示唆した。[31]米国は公式に責任を否定した。[32]
漏洩したNSAの文書には、イランによるFLAMEの発見への対処はNSAとGCHQの共同作業であると記されている。[33]
参照
注記
- ^ 「Flame」はコード内に見つかった文字列の1つであり、攻撃の一般的な名前であり、おそらくエクスプロイトによるものである[1]
- ^ 「sKyWIper」という名前は、マルウェアがファイル名の一部として使用する文字「KWI」に由来しています[1]
- ^ MS10-061 および MS10-046
参考文献
- ^ abcdefghijk 「sKyWIper: 標的型攻撃用の複雑なマルウェア」(PDF)。ブダペスト工科経済大学。2012年5月28日。 2012年5月28日時点のオリジナル(PDF)からアーカイブ。 2012年5月29日閲覧。
- ^ 「Flamer: 高度に洗練され、目立たない脅威が中東を狙う」Symantec。2012年5月31日時点のオリジナルよりアーカイブ。2012年5月30日閲覧。
- ^ abcd Lee, Dave (2012年5月28日). 「Flame: 大規模なサイバー攻撃を発見、研究者が発表」BBCニュース。 2012年5月30日時点のオリジナルよりアーカイブ。 2012年5月29日閲覧。
- ^ McElroy, Damien; Williams, Christopher (2012年5月28日). 「Flame: 世界で最も複雑なコンピュータウイルスが暴露される」. The Daily Telegraph . 2012年5月30日時点のオリジナルよりアーカイブ。 2012年5月29日閲覧。
- ^ abc 「新たな標的型サイバー攻撃の特定」イランコンピュータ緊急対応チーム。2012年5月28日。2012年5月29日時点のオリジナルよりアーカイブ。 2012年5月29日閲覧。
- ^ abcdefghijkl Gostev, Alexander (2012年5月28日). 「The Flame: Questions and Answers」. Securelist . 2012年5月30日時点のオリジナルよりアーカイブ。 2021年3月16日閲覧。
- ^ abcdefghijk Zetter, Kim (2012年5月28日). 「イランのコンピューターに侵入する大規模なスパイマルウェア『Flame』」Wired。 2012年5月30日時点のオリジナルよりアーカイブ。 2012年5月29日閲覧。
- ^ abc Lee, Dave (2012年6月4日). 「Flame: Attackers 'sought confidential Iran data'」. BBC News . 2012年6月4日時点のオリジナルよりアーカイブ。 2012年6月4日閲覧。
- ^ Murphy, Samantha (2012 年 6 月 5 日). 「史上最も危険なコンピュータマルウェア、Flame に会おう」. Mashable.com. 2012 年 6 月 8 日時点のオリジナルよりアーカイブ。2012 年6 月 8 日閲覧。
- ^ ab 「Flameマルウェアメーカーが「自殺」コードを送信」BBCニュース。2012年6月8日。2012年8月24日時点のオリジナルよりアーカイブ。2012年6月8日閲覧。
- ^ Kaspersky Labs Global Research & Analysis Team (2015 年 2 月 16 日)。「Equation: The Death Star of Malware Galaxy」。SecureList。2015年 2 月 17 日時点のオリジナルよりアーカイブ、コスティン・ライウ（カスペルスキー研究所のグローバル調査分析チームのディレクター）：「私には、Equation Group が最もクールなおもちゃを持っているように思えます。彼らは時々、そのおもちゃを Stuxnet グループや Flame グループと共有しますが、そのおもちゃはもともと Equation Group の人だけが利用できるものです。Equation Group は間違いなくマスターであり、他のグループにパンくずを与えているのかもしれません。彼らは時々、Stuxnet や Flame に統合するためのおもちゃを彼らに与えています。」
- ^ Munro, Kate (2012年10月1日). 「Flameの解体：従来の防御の限界」. Computer Fraud & Security . 2012 (10): 8–11. doi :10.1016/S1361-3723(12)70102-1. ISSN 1361-3723.
- ^ Zetter, Kim (2019年4月9日). 「研究者が悪名高いFlameマルウェアの新バージョンを発見」. Vice.com . Vice Media . 2020年8月6日閲覧。
- ^ Chronicle Security (2019年4月12日). “Who is GOSSIPGIRL?”. Medium . 2020年7月22日時点のオリジナルよりアーカイブ。 2020年7月15日閲覧。
- ^ Guerrero-Saade, Juan Andres; Cutler, Silas (2019年4月9日). Flame 2.0: Risen from the Ashes (PDF) (レポート). Chronicle Security . 2023年6月1日時点のオリジナルよりアーカイブ(PDF) . 2024年5月17日閲覧。
- ^ ホプキンス、ニック（2012年5月28日）。「イラン石油ターミナルを襲ったコンピュータワームはこれまでで最も複雑」。ガーディアン。2012年5月31日時点のオリジナルよりアーカイブ。 2012年5月29日閲覧。
- ^ Erdbrink, Thomas (2012年4月23日). 「サイバー攻撃に直面し、イラン当局は一部の石油ターミナルをインターネットから切断」。ニューヨークタイムズ。2012年5月31日時点のオリジナルよりアーカイブ。 2012年5月29日閲覧。
- ^ 「Flame」www.radware.com . 2024年9月25日閲覧。
- ^ ab Kindlund, Darien (2012年5月30日). 「Flamer/sKyWIper マルウェア: 分析」. FireEye . 2012年6月2日時点のオリジナルよりアーカイブ。 2012年5月31日閲覧。
- ^ ab 「Microsoft がセキュリティ アドバイザリ 2718704 をリリース」。Microsoft。2012年6 月 3 日。2012 年 6 月 7 日時点のオリジナルよりアーカイブ。2012 年6 月 4 日閲覧。
- ^ Sotirov, Alexander; Stevens, Marc; Appelbaum, Jacob; Lenstra, Arjen; Molnar, David; Osvik, Dag Arne; de Weger, Benne (2008年12月30日). 「MD5は現在有害とみなされている: 不正なCA証明書の作成」。ベルリンで開催された第25回カオスコミュニケーション会議。2017年3月25日時点のオリジナルよりアーカイブ。 2011年6月4日閲覧。
- ^ Stevens, Marc (2012年6月7日). 「CWI暗号専門家がFlame Spyマルウェアで新しい暗号攻撃バリアントを発見」 Centrum Wiskunde & Informatica. 2017年2月28日時点のオリジナルよりアーカイブ。 2012年6月9日閲覧。
- ^ Cohen, Reuven (2012年5月28日). 「新たな大規模サイバー攻撃は『機密情報の産業用掃除機』」Forbes . 2012年5月31日時点のオリジナルよりアーカイブ。 2012年5月29日閲覧。
- ^ Albanesius, Chloe (2012 年 5 月 28 日). 「中東全域で大規模な「Flame」マルウェアによるデータ窃盗」. PC Magazine . 2012 年 5 月 30 日時点のオリジナルよりアーカイブ。2012 年5 月 29 日閲覧。
- ^ 「Flameウイルス：知っておくべき5つの事実」。The Times of India。ロイター。2012年5月29日。2024年5月26日時点のオリジナルよりアーカイブ。2012年5月30日閲覧。
- ^ ナカシマ、エレン（2012年6月19日）。「米国とイスラエルはイランの核開発を遅らせるためにFlameコンピュータウイルスを開発したと当局が言う」ワシントンポスト。2012年7月18日時点のオリジナルよりアーカイブ。2012年6月20日閲覧。
- ^ abcd 「Flameウイルス：世界で最も複雑なスパイソフトウェアの背後にいるのは誰か？」デイリー・テレグラフ。2012年5月29日。2012年5月31日時点のオリジナルよりアーカイブ。 2012年5月29日閲覧。
- ^ 「リソース207：カスペルスキー研究所の調査でStuxnetとFlameの開発者がつながっていることが証明される」。カスペルスキー研究所。2012年6月11日。2021年11月16日時点のオリジナルよりアーカイブ。 2012年6月13日閲覧。
- ^ Erdbrink, Thomas (2012年5月29日). 「イラン、情報収集ウイルスによる攻撃を確認」.ニューヨーク・タイムズ. 2012年6月6日時点のオリジナルよりアーカイブ。2012年5月30日閲覧。
- ^ Tsukayama, Hayley (2012年5月31日). 「Flameサイバー兵器はゲーマーのコードを使って書かれたと報告」ワシントンポスト。2012年6月2日時点のオリジナルよりアーカイブ。 2012年5月31日閲覧。
- ^ Dareini, Ali Akbar; Murphy, Dan; Satter, Raphael; Federman, Josef (2012 年 5 月 30 日)。「イラン: 'Flame' ウイルスとの戦いは石油攻撃から始まった」。Yahoo ! ニュース。AP 通信。
- ^ 「Flame: イスラエル、マルウェアによるサイバー攻撃との関連を否定」BBCニュース2012年5月31日 オリジナルより2014年6月5日時点のアーカイブ。2012年6月3日閲覧。
- ^ 「訪問概要：サー・イアン・ロバン、KCMG、CB、政府通信本部（GCHQ）ディレクター、2013年4月30日～2013年5月1日」（PDF） 。 2014年5月2日時点のオリジナルよりアーカイブ（PDF） 。 2014年5月1日閲覧。