wiperはイランのサイバー兵器か米国土安全保障省(DHS)は今年6月、wiperを使ったイランからの脅威が増しているとして警戒を促す声明を発表した。wiperは2012年8月にサウジアラビアの国有石油会社、サウジアラムコがサイバー攻撃によって3万台ものコンピューターが破壊された攻撃で使われたマルウェアだ。サウジアラムコへのサイバー攻撃はイランの関与が指摘されている。wiperはイランのサイバー兵器なのだろうか?2012年8月のサウジアラムコへのサイバー攻撃でwiperは、shamoonというマルウェアの破壊的な機能を担うコンポーネントとして登場した。3万台を超すコンピューターのファイルを破壊し、MBR(マスターブートレコード)を上書きしたのだ。wiperの破壊的な機能をもつワイパーマルウェアshamoomは、その後、2016年11月に再びサウジアラビアへのサイバー攻撃で登場した。2016年に被害を受けたのはサウジアラビアの航空・運輸、エネルギー部門などの政府機関や中央銀行だった。アメリカのサイバーセキュリティ企業のマカフィーによると、2016年に使用されたshamoonは、2012年のshamoonの90%を再利用したものだった。shamoomはさらにその2年後の2018年12月、バージョンアップをしてイタリアのサン・ドナート・ミラネーゼに本部があるエンジニアリング企業のSaipemの中東にあるサーバーなどを攻撃した。Saipemはサウジアラムコと取引関係にあり、2019年1月にはサウジ沖の海底油田2カ所の開発を総額約13億ドルで請け負う契約を締結していることから、shamoomによる攻撃はその直前に行われたということになる。した一連のshamoomによる破壊的なwiper攻撃を行っているのは、イランもしくはイランと関係するハッカー組織との見方が有力だ。Justiceと名乗る者がPastbinに声明を投稿し、シリア、バーレーン、イエメン、レバノン、エジプトなどで起きている犯罪や残虐行為をサウジが支援していると批判し、サウジアラムコへのサイバー攻撃に関する詳細情報を明かしたことから、このグループが攻撃を行ったとみられている。破壊されたサウジアラムコの約3万台のコンピューターにはアメリカの国旗を焼く画像が残されており、サイバー攻撃の動機には政治的な背景があることは明らかだった。その攻撃は金銭窃取や情報窃取といったものではなく、コンピューターを破壊することを目的としており、その主要な役割を担ったのがwiperだった。アメリカのサイバーセキュリティ企業、FireEyeは同社が追跡しているサイバー攻撃者一覧を明らかにしている。Thret:標的型攻撃)を仕掛けているグループだ。その一覧の中で「関与が疑われる国家\組織」にイランをあげているのは3グループ、APT39、APT34、APT33だ。うちAPT33については「米国、サウジアラビア、韓国に拠点を置く複数の業種の組織を標的としています。shellという6つのマルウェアを記載している。FireEyeが2017年9月20日に投稿した記事によると、APT33と関連するマルウェアdropshotはワイパーマルウェアのshapeshiftにリンクしており、shapeshiftはサウジアラビアの攻撃に使用された可能性があるという。APT33が使用しているマルウェアturnedupに書かれているハンドル「xman_1365_x」は、ソフトウェア開発をてがけるイランのBarnamenevisのプログラミングおよびソフトウェアエンジニアリングフォーラムのマネージャーで、イランのハッカーフォーラムに登録されているハンドルとの情報もあるようだ。Instituteに結び付くという。FireEyeは、APT33自身がshapeshiftを使用していることは確認しておらず、APT33の活動実態はサウジアラムコを攻撃したグループとは異なるように見えるとしていて、破壊的な作戦を実行する複数のイランベースの脅威グループが別に存在する可能性を示唆している。Lab、データを破壊する新しいマルウェア『StoneDrill』を発見」という記事が載った。ロシアのサイバーセキュリティ企業、カスペルスキーが発見したStoneDrillとFireEyeの言うshapeshiftは同じマルウェアだという。日経のニュース記事の3日前にカスペルスキーが配信した記事によれば、カスペルスキーは2016年11月に発生したサウジアラビアへのshamoon攻撃の調査過程でワイパーマルウェアのStoneDrillを発見した。StoneDrillとshamoonは異なるワイパーマルウェアだが、いくつかの類似点があるという。shamoonはリソース言語としてアラビア語とイエメンの言語が埋め込まれているが、StoneDrillは主にペルシャの言語が埋め込まれているという。カスペルスキーはStoneDrillとshamoonの関係について、それぞれの利益のために調整されたグループによって使用された可能性を示唆している。カスペルスキーとFireEyeの見解にもとづけば、shamoonはアラビア語やイエメンの言語を使用するグループ、StoneDrillはイランと関わりがあるとみられるAPT33のdropshotとリンクするが、StoneDrillの使用者はAPT33ではなく破壊的なサイバー攻撃を担うペルシャ語を言語とする別グループということになる。ところで2012年8月にサウジアラムコがshamoonによるサイバー攻撃を受けた時、shamoonのプログラムコードにアラビア湾という言葉が使われており、イラン人がプログラムしたのであればアラビア湾ではなくペルシャ湾と表記するのではないかとの指摘があった。サウジアラムコがshamoonによる攻撃を受けた4カ月前、イラン石油省にサイバー攻撃があり、石油省本部のコンピューターのハードディスクデータが消去されたとの報道が行われた。この時に使用されたマルウェアもwiperとされたが、2016年のshamoon攻撃で使用されたwiperにはない自らの存在をも除去するという高度な機能を有していたとされ、実際に攻撃に使用されたwiperマルウェアのサンプル分析ができないことから謎に包まれている。Labはマルウェアのサンプルは取得できなかったものの、wiperによって攻撃されたいくつかのハードドライブイメージを取得して分析し、分析結果の詳細をネットに公開している。調査結果によれば、2012年4月下旬までイランのコンピューターシステムを攻撃したwiperと呼ばれるマルウェアが存在したことは間違いないという。そのwiperは2012年8月にサウジアラムコへの攻撃で使用されたwiperとは異なるという。カスペルスキーの見解では、2012年8月にサウジアラムコを攻撃したワイパーマルウェアshamoonは、イラン石油省などを攻撃したwiperマルウェアのコピーキャット(模倣品)の可能性が高いという。高度なサイバー兵器とも言えるwiperマルウェアが2012年4月下旬頃までイランの石油省などを攻撃していた事実があり、その後、wiperマルウェアを模倣して作られたshamoonがサウジアラムコを攻撃したのではないか、ということだ。コメントをキャンセルコメントを投稿するにはログインしてください。