Loading article…
| ハベックス | |
|---|---|
| 技術名称 | |
| エイリアス | オルドレア |
| タイプ | ねずみ |
| 著者 | 元気なクマ |
| 技術的な詳細 | |
| プラットフォーム | Windows、Linux、iOS、Android |
| 使用されるポート | 44818、105、502 |
| 書かれた | PHP の |
HavexマルウェアはBackdoor.Oldreaとも呼ばれ、ロシアのAPTグループ「Energetic Bear」または「Dragonfly」が使用するリモートアクセス型トロイの木馬（RAT）です。 [1] [2] Havexは2013年に発見され、過去10年間に開発されたICS向けマルウェア5つのうちの1つです。これらのマルウェアには、 Stuxnet、BlackEnergy、Industroyer/CRASHOVERRIDE、TRITON/TRISISが含まれます。[3] Energetic Bearは、エネルギー、航空、製薬、防衛、石油化学セクターを標的とした広範なスパイ活動でHavexを利用し始めました。[1]この活動は主に米国とヨーロッパの被害者を標的としました。[2]
発見
Havexマルウェアは、F-SecureとSymantecのサイバーセキュリティ研究者によって発見され、2013年に両社の情報を活用してICS-CERTによって報告されました。 [4] [5] ICS-CERTアラートは、複数の攻撃ベクトルを介してICS機器を標的とし、OPCを使用して標的ネットワーク上の産業機器の偵察を行う新しいマルウェアキャンペーンを分析したことを報告しました。[2]
説明
Havexマルウェアには、RATとPHPで書かれたC&Cサーバーの2つの主要コンポーネントがあります。[4] Havexには、ネットワーク上の産業用デバイスを検索するために使用される OPC（Open Platform Communications ）スキャンモジュールも含まれています。 [2] OPCスキャンモジュールは、ポート44818、105、および502で動作するTCPデバイスをスキャンするように設計されています。[6] SANSの研究者は、これらのポートがSiemensやRockwell AutomationなどのICS/SCADA企業に共通していることを指摘しました。 [6] HavexはOPCプロトコルを悪用して、被害者のシステム内に入ると産業用ネットワークをマッピングしました。[7] 研究者は、OPCスキャンモジュールが古いDCOM（分散コンポーネントオブジェクトモデル）ベースのOPC標準でのみ動作し、より新しいOPC統合アーキテクチャ（UA）では動作しないことを指摘しています。 [2] Havexはこれらの特定のシステムで情報収集を行うように書かれているため、ICSに合わせたマルウェアのカテゴリに入ります。 Havex は、被害者のシステムにアクセスするために、スピアフィッシングキャンペーンに加えて、ICS ベンダーの Web サイトに対するサプライチェーン攻撃と水飲み場攻撃も利用しました。 [5] [6]水飲み場攻撃とサプライチェーン攻撃には、2 つの方法があります。最初の方法では、被害者は正規のベンダーの Web サイトから Havex マルウェアを含む破損したページにリダイレクトされます。[1] 2 番目の方法では、攻撃者は脆弱なベンダーの Web サイトを侵害し、正規のソフトウェアを破損させて Havex RAT を挿入します。その後、ユーザーは、ベンダーの Web サイトから正規のソフトウェアをダウンロードするときに、知らないうちにマルウェアをダウンロードします。[6]この方法では、ソフトウェアはネットワークにプログラムをインストールする権限を持つユーザーによってダウンロードされたため、マルウェアは従来のセキュリティ対策を回避できます。侵害されたベンダーとして知られているのは、MESA Imaging、eWON/Talk2M、MB Connect Line です。 [8 ] Havex は、他のバックドアマルウェアと同様に、被害者のデバイスに他の悪意のあるコードを挿入することもできます。具体的には、Havex は侵害されたデバイスに Karagany ペイロードを挿入するためによく使用されました。Karagany は、資格情報を盗み、スクリーンショットを撮り、Dragonfly C&C サーバーとの間でファイルを転送することができました。[6]
被害地域と被害者
Dragonflyグループは、主に米国とヨーロッパのエネルギー、航空、製薬、防衛、石油化学の被害者に対するスパイ活動でHavexマルウェアを使用しました。[1] Dragosのサイバーセキュリティ研究者は、この活動がこれらの地域とセクターの2,000以上のサイトを標的にしたと推定しています。[9] Symantecの研究者は、Havexマルウェアが最初に米国とカナダの防衛および航空セクターを標的にした後、エネルギーインフラストラクチャを標的にし始めたことを観察しました。[10]発見プロセスを通じて、研究者はHavexキャンペーンに関連する146台のC＆Cサーバーとマルウェアの88の亜種を調査しました。[11]
エクスプロイトキット
ウェブサイトのリダイレクトインジェクション
Havex は、ユーザーを悪意のある Web サイトにリダイレクトするウォーターホール攻撃によってシステムを感染させました。 [1]このキャンペーンで感染した Web サイトは、LightsOut および Hello エクスプロイト キットを使用して、システムを Havex および Karagany トロイの木馬に感染させました。 [10] LightsOut エクスプロイト キットは、Java およびブラウザーの脆弱性を悪用して Havex および Karagany ペイロードを配信しました。[10] Hello エクスプロイト キットは、LightsOut エクスプロイト キットの更新バージョンであり、2013 年に使用されるようになりました。[10]更新された Hello エクスプロイト キットは、フットプリントを使用して、ターゲットの OS バージョン、フォント、ブラウザーのアドオン、およびその他のユーザー情報を判断します。[10]この情報が収集されると、エクスプロイト キットは、ターゲットにアクセスするための最も効率的なエクスプロイトに基づいて、被害者を悪意のあるURLにリダイレクトします。 [10]
参考文献
- ^ abcde 「Havex」。NJCCIC 。 2018年4月18日閲覧。
- ^ abcde 「ICS Focused Malware | ICS-CERT」。ics-cert.us-cert.gov 。 2018年4月18日閲覧。
- ^ 「攻撃者が新しいICS攻撃フレームワーク「TRITON」を導入し、重要なインフラストラクチャの運用を妨害 | FireEye」。2018年5月14日閲覧。
- ^ ab 「ICS に特化したマルウェア (アップデート A) | ICS-CERT」。ics-cert.us-cert.gov。2018年 4 月 18 日閲覧。
- ^ ab 「Havex RAT に基づくサイバースパイ活動が ICS/SCADA システムを攻撃」Security Affairs 2013 年 6 月 25 日. 2018 年 4 月 18 日閲覧。
- ^ abcde Nelson, Nell (2016 年 1 月 18 日)。「Dragonfly マルウェアが産業用制御システムに与える影響」SANS Institute。
- ^ 「CRASHOVERRIDE: 電力網運用に対する脅威の分析」(PDF)。
- ^ 「Havex Trojans の完全公開 - NETRESECブログ」。Netresec。2014 年 10 月 27 日。2018 年 4 月 15 日閲覧。
- ^ 「CRASHOVERRIDE: 電力網運用に対する脅威の分析」(PDF)。
- ^ abcdef 「Dragonfly: エネルギー供給業者に対するサイバースパイ攻撃」(PDF) 2014年7月7日。 2014年8月1日時点のオリジナル(PDF)よりアーカイブ。
- ^ 「攻撃者がHavex RATを使用して産業用制御システムを攻撃 | SecurityWeek.Com」www.securityweek.com 。 2018年4月18日閲覧。