Loading article…
 | |
| 形成 | 2004年～ 2007年頃[1] |
|---|---|
| タイプ | 高度で持続的な脅威 |
| 目的 | サイバースパイ活動、サイバー戦争 |
| 本部 | 22 Kirova Street ヒムキ, ロシア |
地域 | ロシア |
| 方法 | ゼロデイ、スピアフィッシング、マルウェア |
公用語 | ロシア |
親組織 | GRU |
| 所属 | ファンシーベア |
旧称 | ブードゥーベア[1] アイアンバイキング[2] テレボット[2] |
サンドワームは、ロシアの軍事情報機関であるGRUのサイバー戦争部隊であるMilitary Unit 74455によって運営されている高度で持続的な脅威です。[3]サイバーセキュリティ研究者によって付けられたこのグループの他の名前には、APT44、[4] Telebots、Voodoo Bear、IRIDIUM、Seashell Blizzard、[5]およびIron Vikingなどがあります。[6] [7] [8]
このチームは、2015年12月のウクライナ電力網へのサイバー攻撃[9] [10] [11] 、 2017年のNotPetyaマルウェアを使用したウクライナへのサイバー攻撃[12]、2017年のフランス大統領選挙へのさまざまな妨害活動[6]、2018年冬季オリンピック開会式へのサイバー攻撃[13] [14]の背後にいると考えられています。当時のペンシルベニア州西部地区連邦検事スコット・ブレイディは、このグループのサイバーキャンペーンを「歴史上最も破壊的で被害額の大きいサイバー攻撃」と評しました。[6]
歴史
2014
2014年9月3日、iSIGHT Partners（現Mandiant）は、Microsoft Office文書を武器化してゼロデイ脆弱性を悪用するスピアフィッシング攻撃を発見した。CVE-2014-4114と呼ばれるこの脆弱性は、Vistaから8.1までのすべてのバージョンのWindowsに影響を及ぼし、攻撃者が標的のマシンで任意のコードを実行できるものだった。研究者は、この攻撃がSandwormグループによるものであると特定し、ウクライナ政府が攻撃の標的の1つであったことを観察した。注目すべきことに、この攻撃はウェールズで行われたウクライナに関するNATOサミットと同時期に行われた。[15]
2015年ウクライナ電力網ハッキング
2015年12月23日、ハッカーはウクライナのエネルギー会社3社に対して協調的なサイバー攻撃を開始し、ウクライナ国民約23万人への電力供給を1～6時間一時的に中断することに成功した。
1月にiSight Partnersは、 BlackEnergy 3の使用に基づいて、この攻撃がSandwormに関係しているというレポートを発表しました。[16]
2016年ウクライナ電力網ハッキング
前回の電力網攻撃から1年後の2016年12月17日、ハッカーは再びサイバー攻撃でウクライナの電力網を混乱させた。キエフの約5分の1が1時間停電した。停電は結局短時間だったが、攻撃から3年後にセキュリティ会社Dragosが発表した報告書では、IndustroyerまたはCRASHOVERRIDEとして知られるマルウェアは物理的な電気機器を破壊することを意図していたという説が概説されている。保護リレーの既知の脆弱性を悪用することで、マルウェアは安全上の問題をわかりにくくするように設計されていた可能性があり、エンジニアが電力を復旧しようとしたときに過負荷の電流が送られて変圧器や電力線が破壊される。このような破壊は、成功すれば電力会社の作業員に危害を及ぼす可能性があり、停電がさらに長引く可能性もあった。[17]
2018年冬季オリンピック
2018年2月9日、平昌冬季オリンピックの開会式の最中に、韓国のハッカーがサイバー攻撃を仕掛け、WiFi、平昌オリンピックスタジアムの式典を映すテレビ、RFIDベースのセキュリティゲート、デジタルチケット販売に使用されたオリンピック公式アプリなどのITインフラを混乱させることに成功した。スタッフは開会式が終わる前にほとんどの重要な機能を復旧できたが、ネットワーク全体をゼロから再構築しなければならなかった。ワイパーマルウェアがすべてのドメインコントローラーに侵入し、それらを操作不能にしていた。[13]
3日後、シスコ・タロスは、このマルウェアを「オリンピック・デストロイヤー」と名付けたレポートを公開した。このレポートでは、このマルウェアの拡散技術が「BadRabbit」や「Nyetya」マルウェアと類似していることが挙げられ、攻撃の目的はオリンピックの混乱にあると述べられている。[18]
Olympic Destroyerマルウェアの帰属は、作成者が複数の脅威アクターに属するコードサンプルを偽旗として組み込んでいたため、困難であることが判明した。Intezerは2月12日に、3人の中国の脅威アクターに帰属するサンプルとのコードの類似性を示すレポートを公開した。一方、フォローアップのTalosレポートでは、北朝鮮のAPTであるLazarus Groupのスピンオフによって作成された別のワイパーを指し示す「弱い」手がかりが指摘された。[19] [20]
カスペルスキーGReATチームは3月8日に、現在の業界の理論と独自の調査について議論する2つのブログ記事を公開した。ロシアの企業であるカスペルスキーは、技術記事の中で、ラザルスグループを指すファイルヘッダーが偽造されたことを発見した経緯を詳細に説明したが、オリンピックデストロイヤーマルウェアが北朝鮮以外のグループによるものであるとは断定しなかった。[21] [22]
米国起訴状（2020年）
2020年10月19日、米国を拠点とする大陪審は、Unit 74455の容疑者6名をサイバー犯罪で起訴した。[ 23] [24] [25]ユーリー・セルゲイヴィッチ・アンドリエンコ、セルゲイ・ウラジミロヴィッチ・デティストフ、パベル・ヴァレリヴィッチ・フロロフ、アナトリー・セルゲイヴィッチ・コヴァリョフ、アルチョム・ヴァレリヴィッチ・オチチェンコ、ペトル・ニコラエヴィッチ・プリスキンの各容疑者は、コンピューター詐欺および悪質な共謀、通信詐欺の共謀、通信詐欺、保護されたコンピューターへの損害、および悪質な個人情報窃盗の罪で個別に起訴された。6人のうち5人はハッキングツールを公然と開発したとして告発され、オチチェンコは2018年冬季オリンピックに対するスピアフィッシング攻撃に参加し、ジョージア議会の公式ドメインの技術的偵察とハッキング未遂の罪で告発された。[6] [あ]
米国の起訴発表と同時期に、英国国立サイバーセキュリティセンター（NCSC）は、サンドワームが2018年冬季オリンピックの攻撃と関連していることを公に指摘する報告書を発表した。[2]
Exim の搾取 (2020)
2020年5月28日、国家安全保障局は、サンドワームグループがExim [32]のリモートコード実行の脆弱性（CVE-2019-10149と呼ばれる）を積極的に悪用してメールサーバーを完全に制御していると警告するサイバーセキュリティ勧告を発表しました。[33]勧告が公開された時点では、Eximの更新バージョンが1年前から利用可能になっており、NSAは管理者にメールサーバーにパッチを適用するよう促していました。
サイクロプス ブリンク（2022）
2022年2月、SandwormはCyclops Blinkをマルウェアとしてリリースしたとされています。このマルウェアはVPNFilterに似ています。[34]このマルウェアはボットネットの構築を可能にし、Asusルーター、WatchGuard Firebox、XTMアプライアンスに影響を与えます。CISAはこのマルウェアについて警告を発しました。[35]
戦争犯罪要請（2022年3月）
2022年3月下旬、カリフォルニア大学バークレー校法科大学院の人権調査員と弁護士は、ハーグにある国際刑事裁判所の検察官に正式な要請書を送った。[36]彼らは国際刑事裁判所に対し、ウクライナに対するサイバー攻撃を行ったロシアのハッカーに対する戦争犯罪の訴追を検討するよう求めた。[36] サンドワームは、2015年12月のウクライナ西部の電力会社への攻撃と、 2016年のキエフの電力会社への攻撃に関連して具体的に名指しされた。[ 36 ]
ウクライナの電力網攻撃（2022年4月）
2022年4月、サンドワームはウクライナで停電を試みました。 [37]これは、Industroyer2と呼ばれるIndustroyerマルウェアの亜種を使用した5年ぶりの攻撃だと言われています。[38]
SwiftSlicer（2023年1月）
2023年1月25日、ESETはActive Directoryの脆弱性ワイパーをSandwormに起因するものとした。 [39]
悪名高いチゼル（2023年8月）
2023年8月31日、米国、英国、カナダ、オーストラリア、ニュージーランドのサイバーセキュリティ機関（総称してファイブアイズ）は共同で新しいマルウェア攻撃に関する報告書を発表し、サンドワームによるものだと結論付けた。「Infamous Chisel」と呼ばれるこのマルウェアは、ウクライナ軍が使用するAndroidデバイスを標的としていた。最初の感染後、マルウェアは永続的なアクセスを確立し、侵害されたデバイスから定期的にデータを収集して盗み出す。収集される情報には以下が含まれる。
- デバイスシステム情報
- さまざまな種類のアプリからのアプリケーション データ:
- ウクライナ軍特有のアプリケーション
このマルウェアは、ローカルネットワーク上の他のホストで実行されているサービスの開いているポートとバナーも定期的に収集します。さらに、SSHサーバーが作成され、Tor隠しサービスとして実行されるように設定されます。攻撃者は、実際のIPアドレスを明らかにすることなく、感染したデバイスにリモートで接続できます。[40]
名前
「サンドワーム」という名前は、マルウェアのソースコードにフランク・ハーバートの小説『デューン』への言及があったことから、iSight Partners（現Mandiant ）の研究者によって名付けられました。[41]
2024年、サンドワームが世界中の政府や重要インフラ事業者に及ぼす積極的かつ継続的な脅威を考慮して、マンディアントはサンドワームをAPTグループに「昇格」させ、APT44と名付けました。[4]
参照
注記
- ^ 米国国務省 外交保安局:正義への報奨金は、GRU職員ペトル・ニコラエヴィッチ・プリスキン(ロシア語: Петр Николаевич Плискин )、アルテム・ヴァレリエヴィッチ・オチチェンコ(ロシア語: Артем Валерьевич Очиченко）、アナトリー・セルゲイヴィチ・コバレフ（ロシア語: Анатолий Сергеевич Ковалев）、パーベル・ヴァレリエヴィチ・フロロフ（ロシア語: Павел Валерьевич） Фролов )、セルゲイ・ウラジミロヴィチ・デティストフ（ロシア語：Сергей Владимирович Детистов ) と、「サンドワーム チーム」に関連する GRU ロシア地上軍特殊部隊主要技術センター (部隊 74455) のユーリー セルゲイヴィチ アンドリエンコ (ロシア語: Юрий Сергеевич Андриенко )、テレボット」、「ブードゥー・ベア」、「アイアン・バイキング」[26] [27] [28] [29] [30] [31]
参考文献
- ^ Adam Meyers (2018年1月29日). 「VOODOO BEAR | 脅威アクタープロファイル | CrowdStrike」. Crowdstrike.
- ^ abc 「英国、オリンピック・パラリンピックに対するロシアの一連のサイバー攻撃を暴露」国立サイバーセキュリティセンター。2020年10月19日。
- ^ グリーンバーグ、アンディ（2019）。サンドワーム：サイバー戦争の新時代とクレムリンの最も危険なハッカーの追跡。クノップ・ダブルデイ。ISBN 978-0-385-54441-2。
- ^ ab 「APT44: Unearthing Sandworm」（PDF） 。 2024年9月12日閲覧。
- ^ 「Microsoft が脅威アクターを指名する方法」。Microsoft。2024年1 月 21 日閲覧。
- ^ abcd 「破壊的なマルウェアの世界的展開およびサイバースペースにおけるその他の破壊的行為に関連して、6人のロシアGRU職員が起訴される」。米国司法省広報室。2020年10月19日。 2021年7月23日閲覧。
- ^ クレイグ・ティンバーグ、エレン・ナカシマ、ハンネス・マンジンガー、ハカン・タンリヴェルディ（2023年3月30日）。「極秘の宝庫がロシアのサイバー戦争への野望を垣間見せる」ワシントンポスト。 2023年3月31日閲覧。
- ^ 「ロシアのFSBの悪意ある活動：ファクトシート：サイバー作戦とロシア諜報機関」。国家サイバーセキュリティセンター（NCSC）および外務・英連邦・開発省。2023年12月7日。2023年12月8日時点のオリジナルよりアーカイブ。 2024年10月18日閲覧。
- ^ 「ハッカーがウクライナの電力網をシャットダウン」www.ft.com 2016年1月5日2020年10月28日閲覧。
- ^ Volz, Dustin (2016年2月25日). 「米国政府、ウクライナの停電はサイバー攻撃が原因と結論」ロイター. 2020年10月28日閲覧。
- ^ Hern, Alex (2016年1月7日). 「ウクライナの停電はメディア企業を攻撃したハッカーが原因、研究者が語る」.ガーディアン. ISSN 0261-3077 . 2020年10月28日閲覧。
- ^ 「史上最も壊滅的なサイバー攻撃、NotPetyaの知られざる物語」Wired . ISSN 1059-1028 . 2020年10月28日閲覧。
- ^ ab グリーンバーグ、アンディ。「オリンピック・デストロイヤーの 内部、史上最も欺瞞的なハッキング」。Wired。ISSN 1059-1028。2020年10月28日閲覧。
- ^ Andrew S. Bowen (2020年11月24日). 「ロシアの軍事情報：背景と議会への課題」（PDF）（報告書）.議会調査局. p. 16. 2021年7月21日閲覧。
- ^ Stephen Ward (2014年10月14日). 「iSIGHT、ロシアのサイバースパイ活動で使用されたゼロデイ脆弱性CVE-2014-4114を発見」。2014年10月14日時点のオリジナルよりアーカイブ。 2023年11月5日閲覧。
- ^ Hultquist, John (2016年1月7日). 「Sandworm Teamとウクライナ電力当局の攻撃」. iSIGHT Partners. 2016年1月29日時点のオリジナルよりアーカイブ。
- ^ Joe Slowik (2019 年 8 月 15 日)。「CRASHOVERRIDE: 2016 年のウクライナ電力事件を保護重視の攻撃として再評価」(PDF)。Dragos Inc.
- ^ Warren Mercer (2018年2月12日). 「オリンピック破壊工作員が冬季オリンピックを狙う」. Cisco Talos.
- ^ ラスカニエール、ポール、リー、マーティン（2018年2月26日）。「オリンピック・デストロイヤーの責任を負わなかったのは誰か？」Cisco Talos。
- ^ Jay Rosenberg (2018年2月12日). 「2018年冬季サイバーオリンピック：平昌でのサイバー攻撃とのコードの類似性」。2020年6月30日時点のオリジナルよりアーカイブ。
- ^ Kaspersky GReAT チーム (2018 年 3 月 8 日)。「OlympicDestroyer は業界を騙すためにここにいる」。2019 年 1 月 31 日時点のオリジナルよりアーカイブ。
- ^ Kaspersky GReAT チーム (2018 年 3 月 8 日)。「The devil's in the Rich header」。2019 年 2 月 22 日時点のオリジナルよりアーカイブ。
- ^ Cimpanu、カタリン。「米国、NotPetya、KillDisk、OlympicDestroyer攻撃の背後にロシアのハッカーを起訴」ZDNet 。 2020年10月28日閲覧。
- ^ 「ロシアのサイバー攻撃の急増は、抑制されないインターネット戦争の様子を示している」ガーディアン。2020年10月19日。 2020年10月28日閲覧。
- ^ 「米国、ロシアの最も破壊的なサイバー戦争部隊サンドワームを起訴」Wired . ISSN 1059-1028 . 2020年10月28日閲覧。
- ^ “Petr Nikolayevich Pliskin”.米国務省外交保安局:正義に対する報酬. 2024年10月9日時点のオリジナルよりアーカイブ。 2024年10月9日閲覧。
- ^ “Artem Valeryevich Ochichenko”.米国務省外交保安局:正義に対する報酬. 2024年10月9日時点のオリジナルよりアーカイブ。 2024年10月9日閲覧。
- ^ 「アナトリー・セルゲイヴィッチ・コヴァレフ」。米国国務省外交保安局：正義に対する報酬。2024年10月9日時点のオリジナルよりアーカイブ。 2024年10月9日閲覧。
- ^ “Pavel Valeryevich Frolov”.米国務省外交保安局:正義に対する報酬. 2024年10月9日時点のオリジナルよりアーカイブ。 2024年10月9日閲覧。
- ^ “Sergey Vladimirovich Detistov”.米国務省外交保安局:正義に対する報酬. 2024年10月9日時点のオリジナルよりアーカイブ。 2024年10月9日閲覧。
- ^ “Yuriy Sergeyevich Andrienko”.米国務省外交保安局:正義に対する報酬. 2024年10月9日時点のオリジナルよりアーカイブ。 2024年10月9日閲覧。
- ^ Satnam Narang (2019年6月6日). 「CVE-2019-10149: Exim で重大なリモートコマンド実行の脆弱性が発見される」. 2023年11月4日閲覧。
- ^ 「Eximメール転送エージェントがロシアGRUサイバーアクターによって積極的に悪用されている」。国家安全保障局。2023年3月24日時点のオリジナルよりアーカイブ。
- ^ Hardcastle, Jessica Lyons. 「Cyclops BlinkマルウェアがASUSルーターに侵入」www.theregister.com . 2022年3月21日閲覧。
- ^ 「CISA、8つの既知の悪用された脆弱性をカタログに追加 | CISA」www.cisa.gov 2022年4月11日。 2022年4月13日閲覧。
- ^ abc Greenberg, Andy (2022年5月12日). 「ロシアのサンドワームハッカーに対する戦争犯罪容疑の根拠」Wired . 2022年7月7日閲覧。
- ^ グリーンバーグ、アンディ。「ロシアのサンドワームハッカーがウクライナで3度目の停電を企てた」。Wired。ISSN 1059-1028。2022年4 月13日閲覧。
- ^ 「Industroyer2: Industroyer reloaded」www.welivesecurity.com . 2022年4月13日閲覧。
- ^ Živé.sk (2023 年 1 月 27 日)。 「Na Ukrajine maže počítače nový trójsky kôň. Hackeri majú byť prepojení na Rusko」。Živé.sk (スロバキア語) 。2023 年1 月 27 日に取得。
- ^ 「悪名高いChiselマルウェア分析レポート」。サイバーセキュリティ＆インフラストラクチャセキュリティ庁。2023年8月31日。 2023年11月6日閲覧。
- ^ キム・ゼッター (2014年10月14日). 「ロシアの『サンドワーム』ハッカーは何年も外国政府をスパイしていた」Wired。2014年10月14日時点のオリジナルよりアーカイブ。
さらに読む
- グリーンバーグ、アンディ（2019）。『サンドワーム：サイバー戦争の新時代とクレムリンの最も危険なハッカーの追跡』クノップ・ダブルデイ。ISBN 978-0-385-54441-2。
外部リンク
- 米国司法省の起訴状