Electric)を指すと考えられる。5つの企業の内、Behpajoohは被害の深刻さが際立っている。3回の攻撃全てをうけており、2010/3の第二波の攻撃をうけた唯一の企業であり、感染PCのおよそ69%がこの企業を起点としていた。Operation背景イスラエルは米国がイランの核開発について手をこまねいていることを批判していた中東のエジプト・イエメン・クェートなどの国もイランの核開発を自国への脅威と捉えていたイランのアフマディーネジャード大統領は核開発を政策の目玉として国民にアピールしており、核開発は政権のシンボルの一つと目されていたなぜサイバー攻撃というオプションがとられたかイランの核開発を止めるため(正確にはウラン濃縮工程を止めるため)の手段としてサイバー攻撃でなく空爆や地上戦力投入というオプションもとりえた。以下の条件を検討した結果サイバーが妥当と判断されたと考えられる。イラクとアフガニスタンで米軍が活動しており「中東三番目の戦場」を軍、政府、世論がのぞんでいなかった。イランは遠心分離器の製造に必要な材料をおよそ12000機から15000機分しか保有していないと、専門家は推定していた。制裁によってイランが材料の追加調達をすることは難しいと考えられるため、数千の遠心分離器を破壊できれば計画全体が遅延するとみられていた。Command)が行ったとみられる。一方で秘密作戦の実施権限を持つのはCIAであり、開発後の展開や運用についてはCIAがメインで携わったとかんがえられる。中身はキーロガーおよび情報詐取ソフトでデータをインドのC2サーバに送信するものであった。Electronicsという台湾の会社の正規証明書をつかって2009/8に署名されていた。Stuxnetと署名部分以外同一のバイナリであった。暗号アルゴリズムそして暗号キーまでがStuxnetと同じ。Stuxnetが使用する6つの関数を全て使っていた。被害企業名は現在も公開されていないが、ハンガリーの認証局NetLockという情報が有力である。HungaryとSymantecとマカフィーに勤めるハンガリー人研究者とベリサインに送った。Symantecの解析でDuquは情報を盗む機能しかもたず、感染後36日(期間は30日から120日まであることがその後の調査でわかっている)で自らを消去することがわかった。6745”の画像が表示された。SymantecがDuquに関するレポートを公開。Labの名称は伏せられた。Kasperskyが後に5つあるC2サーバのうちベトナムにあったものを解析したところ、この日から急いで感染PCの消去、サーバからのデータ消去を行っていた形跡が確認された。Labのページに声明を掲載。自動で感染を広げる機能はなかった。通信はAESで暗号化されていた。JPG画像を装う点はDuquと同じ。AutoCADの図面ファイルを盗んでいることが確認された。KasperskyとSymantecのデータを総合してもDuquの感染は世界で30-40台という規模であった。Stuxnetは10000台を超えていた。Symantecによると感染が見つかった国はイランに2台、フランス、インド、オランダ、スイス、スーダン、ベトナム、ウクライナに1台ずつ。Kasperskyによると感染はイランにいくつか、ヨーロッパに3台、スーダンに4台。その他のAVベンダーがオーストリア、インドネシア、イギリスでの感染を報告している。Fontの脆弱性を攻撃していることがわかった。これは安定して利用するのが難しい脆弱性であり、また成功すると管理者権限を奪取できるという点でより深刻な脆弱性であった。ファイル中に記載のコピーライトは2003とあった。TV番組Dexterが放送されたのは2006/10/1であり、Exploitの作成はそれ以降と考えられる。ファイルのビルドは2008/2/21。スーダンで確認されたファイルはそれより更に以前の日付であった。Stuxnetの作成にはRealtekやJMicronの秘密鍵を盗み出す必要があった。Duquがハンガリーの認証局で発見されたことから、同様の手口で企業ではなく認証局から秘密鍵を盗み出していたのではないかと考えられている。全体像Kasperskyは全部で6つのよく似た不審なドライバーファイルをみつけていた。ファイル名がチルダで始まることからTilded(チルダ付き)と総称されていた。Tildedのうち2つはStuxnetで、1つはDuquで使用されているが残り3つは使途がわかっていない不明の3つのうちの1つ目はStuxnet騒動の最中にESETが発見したJMicronの署名付きドライバであった。これは暗号化のルーティンがStuxnetよりもより厳重であり、別の用途があったと考えられている。不明の3つのうちの2つ目は2008/1/20にコンパイルされ、やはり暗号化が厳重であった。不明の3つのうちの3つ目は2010/3/18にRealtekの秘密鍵を使って署名され、2011/5/17に中国のIPアドレスからVirusTotalにアップロードされた。Stuxnetと同じ暗号化手法、キー、同じ日付にコンパイルされていた。KasperskyがイランからWiperと彼らが名づけたソフトによって消去されたハードディスクを入手。~DF78.tmpというファイルを参照していることが確認された。~Dで始まる一時ファイルを検索した。盗まれたファイルは暗号化されていて、中身は確認されていない。Officeを使って作成された文書とAutoCADとデジタル証明書を検索することはわかっているカスペルスキーによるとFlameの感染はイランに少なくとも189台、パレスチナ自治区に98台、スーダンとシリアに30ずつ確認された。Updateをのっとった。VirusTotalは未検知のファイルをベンダーに自動転送するシステムを持っているFlameのニュースが公になる10日前にC2などを消去する行動が確認された。削除され忘れられてマレーシアに残っていたFlameのC2サーバの解析から、このC2はSP,SPE,FL,IPという4種のアプリケーション(プロトコル)との通信機能を持つことがわかった。FLはFlameである。SPEはこのC2にレバノン、イラン、フランスなどから通信しており存在することは間違いない。IPとはまた違うマルウェア。構造は酷似2500台に感染、1600台がレバノン、482台がイスラエル、261台がパレスチナ自治区、40台がアメリカ、1台がイラン。FlameとDuquの開発プラットフォームを転用して、両者の長所を掛けあわせたのがStuxnetではないか。Flameは米国が、Duqu(及びTilde-Dプラットフォーム)はイスラエルが作ったのではないかと研究者は考えた。5400の遠心分離器をナタンズに設置。ナタンズの遠心分離器設置数は7052機。うち4092機が濃縮作業を実施。現在のペースで作業が続けば12ヶ月以内に2つの各兵器の開発可能。テヘラン市内で大統領選挙への疑惑に起因するデモ続く中、StuxnetがBehpajoohにも感染。Behpajoohはエスファハンに本社があるエンジニアリング会社で、不正な調達に関わっていた。Centerがあり、ウラン鉱石を気化する施設などが存在し、核兵器開発の拠点とみられていた。BehpajoohはNatanzとの関わりを明らかにしていないが、WebサイトではシーメンスS7-400PLCを扱っていてStep7やWinCC,Profibusを使用したプロジェクトを紹介していた。Groupとログフィイル上にCGJとかかれた企業に感染。Jahadと目されている。NedaはBehpajooh同様に不正調達に関与していた。NedaのBehroozをなのる人物がシーメンスのユーザフォーラムに投稿。「step7のDLLエラーが出続ける。濃縮を行っている遠心分離器は4592機。A26カスケードでのみ濃縮を実施。6月と比較して984機減った。1410Hzで15分、その三週間後に2Hzで15分。設置8692機、稼働3772機におちこむ。2009/6に使用される。規模はNatanzより小さい。Qomから30kmほど離れた街Fordow(Fordo)で2002-2004年頃から準備が始められた。オバマは2009年の大統領就任前ブリーフィングでこの施設について説明をうけていた。米情報機関は2007年にイラン革命防衛隊のトップが西側に寝返ったときから掴んでいた。Natanzの施設はIAEAの監視対象であったが、Fordowはノーマークであった。Stuxnet第2波がリリースされる。感染がBehpajoohに広がる。ゼロデイ脆弱性が複数使用された。第1波はコンパイルの12時間後に最初の感染がおこった。第2波は23日後に最初の感染。ここから第1波は内部コンピュータへのアクセス権をもつものがもちこんだと予想されている。2010年の攻撃がどのような直接的被害をNatanzの濃縮施設にあたえたのかはあまりわかっていない。当時A26ユニット内の6つのカスケードで984機の遠心分離器が濃縮を行っていたとされる。イランがIAEAを非難。査察で得た情報をマスコミに漏洩しているとした。150名の査察官のうち2名を受け入れリストから削除。IAEAは査察報告書でそれまでユニット毎(A24,A25,A28)に設置されている、もしくは稼働している遠心分離器の数を公表していたが、3つのユニットの合計だけを記載するようになった。Stuxnetはイランの核兵器開発を遅らせるという目的を果たしたのか?2003年にイスラエル高官は「手を打たねば2007年までにイラン核兵器生産に成功する」と発言した。2011年にモサド長官は2015年までイランが核兵器開発を行うことは不可能と立法府で証言した。Barzashka(2013)はそれを否定。2009年5月と9月に濃縮プログラムの拡大を一時的に遅くしたが、それ以上の効果はなかったという見解を披露した。Natanzが2009年以降驚異的な復活を遂げたことはIAEAの報告書などから読み取れる。起こしたと考えられるStuxnetは奇襲であった。Rezaeinejad(35)が暗殺される。起爆装置の開発への関与が疑われている。長距離ミサイルテスト場で謎の爆発。Esfahanのウラン転換工場で謎の爆発。Roshan(32)が暗殺される。Affair部門の副部門長。Natanzの運用や調達に関与。QomからFordowにのびる電力網が爆破される。報道によると岩に見せかけた盗聴機であり、警備員が取り除こうとしたところ爆発。この事件についてイラン政府筋は同様のことはNatanzでも起きていたと発言。サイバー戦争はコストが総合的に安いという点で、国家の外交による解決を妨げる可能性が高い。広島/長崎が核兵器の脅威を世界に見せつけたように、Stuxnetはサイバー攻撃の危険性を世界に知らしめた。http://thebulletin.org/stuxnet-and-bomb一方でサイバー攻撃が万能でないこともStuxnetの事例から明らかになってきたサイバー攻撃の場合、攻撃を受けた側にマルウェアが残る。それは武器の設計図と実装をそのまま敵方に渡すことを意味し、反撃を招く。サイバー空間に後方の概念はない。ネットワーク化が進んだ(先進の)国ほど失うものも大きい。識者は以下のようなスタンスをとる。Lewis「今後数年米中露の軍隊のC2に対する攻撃が行われるであろう。一方で民間への攻撃はエスカレーションの危険性を鑑みて控えられるであろうと発言。一方でイランや北朝鮮はそのような配慮が期待できない。アフガニスタンにいるタリバン、ソマリアにいるAl-Shabaabがサイバー攻撃を行う可能性は否定できない。「長期にわたり効果が継続するようなサイバー攻撃を行うことは旅客機ハイジャックなどと比べて複雑な準備を必要とする。サイバー攻撃によって心理的な恐怖感を相手側に与えることは難しいオペレーションに係る法的な問題の整理も平行して行われていたようである。NATO加盟の各国の軍隊の法務アドバイザーがサイバードクトリンをまとめるのを支援する目的でタリンマニュアルがまとめられる。Barzashka"を引用し、以下の通り論じているStuxnetがNatanzのウラン濃縮施設を狙ったことはよく知られている。米国・イスラエル関係者によってこの攻撃によりイランの核兵器開発が「2年」「18ヶ月から24ヶ月」「5年以上」遅らせられたという発言がされている。ついて調べた結果、Stuxnetがイランの核兵器開発プロセスに与えた影響は軽微であると主張する。その上で、Stuxnetが多国間対話にもたらした負の影響を例示する。場においてイランを利する側面もあったとしている。本厄の年で、お祓いの祈祷から1年が始まったが、終わってみれば仕事でも、研究でも成果がでた良い1年だった。自分自身の生活を取り戻しつつある1年と言える。博論印刷したり、審査のために仮綴じのファイルをつくったり。メールアドレスの正しい選び方メールアドレスは自分の好みで選ぶことが出来る。シンプルに自分の名前を使おうとすると既に使用している人がいるため、意外と悩まされる。悩んだ結果であるメールアドレスには本人の人間性が反映されてしまうのである。(旧コンコルドホテル)の脇にはうらびれたモールがある。店先でおばちゃん達が井戸端会議をしているネイルサロンやマッサージ屋などが立ち並ぶ中、一際異彩を放っているのがアンさんのコンビニエンスストアである。写真は本文とは殆ど関係ありません。以前のブログにも書きましたが私が仕事でセキュリティにかかわるようになってから今日で2年7ヶ月。明日CISSPの試験があって、万が一受かったとしても、CISSPにはなれないのです。北大の中国研究者が招かれて訪れた北京で拘束された。中国関連のいいニュースを聞かない月だった。APCERTの年次総会。オーストラリアが率いてきた体制が、マレ...ミリオンマイラー達成記念。トップ5先月ミリオンマイラーになった。ANAという会社のマイレージカードを持っているのだが、この会社と提携するスターアライアンス加盟企業のフライトにのった距離が通算100万マイルを超えたのである。我ながらなかなかの快挙だと思う。ANAはミリオンマイラーになると記念品として...3年ぶりの引越し無事新居が決まり、再来週の週末には引越しです。片付け間に合うのか?家の前に積まれたダンボールの山をみるとちょっと気が遠くなります。今日はヤフオクに家財道具を出品中。