Team0本記事では、比較的小規模の標的型サイバー攻撃「OnionDog(オニオンドッグ)作戦」について解説します。年以上にわたって毎年実行されたとされており、報道機関からもある程度の注目を集めました。つに「北朝鮮」があります。作戦についても北朝鮮と関連付ける報道が見られています。作戦が、実はサイバー攻撃演習だったという興味深い事実に到達しました。年に初めて確認されました。年から続く攻撃が、同じ集団によって実施されていたことが報告されました。当初それらの検体は、小規模ながらも影響力を持った攻撃者集団によって作成されたものと思われていました。Team」による報告書です。アドレスが記載されています。通信するアドレスです。実害をもたらすような目的の通信は確認されず、単にこのサイバー攻撃演習によって感染した標的を記録しているだけのようでした。アドレスに対応するドメインの履歴を調査し、まとめたものです。Center(国家サイバー安全センター、NCSC)」が保有しています。管理しているということになります。アドレス(IP1)については、対応するドメインを確認することができませんでした。アドレスだと考えられます。サーバを区別する事実上の電子的指紋であることに留意してください。関連が確認されたということです。作戦とサイバー演習との関連が伺えます。このサイバー攻撃演習で利用されたツールは管理された環境に置かれていなかったということです。言うまでもなく、このような状況は問題を引き起こす可能性があります。演習のためのマルウェアであれば特に、手法やツールの公開は望ましくないからです。作戦に関連する検体の一例です。アドレスがハードコードされていました。年以降は「[.]onion[.]city」ドメインが利用されています。OnionRouter(Tor)」のネットワーク内にホストされていることを意味します。月の間に集中しています。関連するマルウェアの検体を確認してきました。ドメインに基本的な情報を送信します。サーバから第二段階のマルウェアをダウンロードすることも可能です。2015年に確認されたマルウェア(SHA256:65d226469d6bdb1e7056864fe6d3866c8c72613b6b61a59547ef9c36eda177dd、「TROJ_ONIONDOG.SM」として検出)は、「[.]onion[.]city」ドメインと通信します。ような文書ファイルが開きます。これは、韓国で広く使用されている文書ソフトウェアで作成された文書ファイル(拡張子:HWP)です。点検計画」とあります。2015年の夏に実施されたサイバー攻撃演習で利用されたものだと考えられます。問題の文書の表示後、このマルウェアは、一時フォルダにリソース「101(SHA256:6dd79b5b9778dc0b0abefa26193321444236a1525d03227f150e6e968999fea5)」を解凍し、実行します。つのリソース「103」と「111」を展開します。バージョンでは、これらのコードを“explorer.exe”のプロセスに組み込みます。以降のバージョンでは、リソースを一時フォルダに解凍して実行し、その後削除します。つのバイナリファイルマルウェアは、通常、エラーメッセージを表示しません。問題のマルウェアは、“explorer.exe”にコードを組み込むことができなかった場合、エラーメッセージを表示します。Library、DLL)」です。Control(UAC)」を回避します。サービスをインストールします。その後、バッチファイルによってスクリプトを実行し、すべての痕跡を削除します。サーバから別の実行ファイルをダウンロードします。現在の日付に関わらず、作成したサービスとすべてのファイルを削除するために別の実行ファイル(SHA256:fd03f3f65979ec7b8b6055f92f023b08f57c3095557d1f00d88f01f4d4cb46b7、「TROJ_GEN.R047C0OIP15」として検出)を作成して実行します。実害を与えませんが、本物のマルウェアと同様の手法を用います。このようなマルウェアがこのサイバー攻撃演習に必要だったのかは分かっていません。ハイライト部のように、このマルウェアが演習用であることを明らかに示す文字列を確認することができました。ポップアップが表示されます。このポップアップは、特定の期間内に実行された場合に表示されます。サイバー脅威対応訓練]不正なコードに感染しました。管理者に通知してください。Drills(乙支フリーダムガーディアン演習)」を指していると思われます。月にかけて実施されています。年に実施された演習の日付を一覧にしたものです。作戦に関連するマルウェアの活動期間と一致します。米陸軍のWebサイトによると、乙支フリーダムガーディアン演習には、通信ネットワークの防御に関する演習が含まれています。月にかけて確認された警告やメッセージ、その他の痕跡等は、韓国の重要人物が実際のサイバー攻撃に対応できるようにするための演習の一部であった可能性があります。あるならば、このサイバー演習は、軍事用語で表現すれば「実弾演習」ということになります。マルウェアが弾薬に当たり、コンピュータシステムが演習場または戦場に相当します。作戦に関連するマルウェアはすべて、毎年実施されているサイバー攻撃演習で利用されたものです。これらのマルウェアは、演習期間以外には活動できないように制限がかけられています。実害を与えるような不正活動も一切行いません。侵入テストを実施するマルウェアもあります。サイバー攻撃演習における本物のマルウェアの利用には危険も伴います。作戦に関連するマルウェアの検体を確認しています。実環境でマルウェアが確認されているということは、この演習で利用されたツールや手法がサイバー攻撃者によって解析および悪用される可能性があるということを意味します。それらが悪用された際に、演習と誤解したインシデント対応チームが適切な対応を怠ることも考えられます。実際に挙動するマルウェアの利用はもちろん、たとえマルウェアとしての振る舞いを模倣しただけであっても、不正活動を実行する機能が追加される可能性を考えると危険性が無いとは言えません。小規模の演習の場合、そのマルウェアの担当者が何らかの理由で外出しているだけで、管理不可能な事態に陥る可能性もあります。実際のマルウェアを使う代わりに、エクスプロイトコードを検証するフレームワーク「Metasploit」の「vSploit」モジュールをもとに作成された「Threatcare」のような侵入テストツールを利用すれば、既知の脅威をシミュレートすることで、インシデント対応チームの能力をテストすることが可能です。サイバー攻撃演習は、乙支フリーダムガーディアン演習のような複数国にまたがる大規模なものだけではありません。実際の攻撃への対応状況をテストするために、このようなサイバー攻撃演習は世界中の企業によって実施されています。■攻撃キャンペーンの背後にいる攻撃者集団の詳細特定には細心の注意および検証が必要OnionDog作戦は、それほど多くはないもののメディアから一定の注目を集めています。報道上の扱いが小さかったとしても、サイバー攻撃者が帰属する国に関する誤った報道は、間違った結論を導き国家間の緊張を高める結果をもたらしかねません。トレンドマイクロが攻撃の背後にある国家を安易に特定しない理由はここにあります。今回の事例の場合、特定業界に対する標的型サイバー攻撃だと考えられていたものが、実際は国家および特定業界のインシデント対応をテストするためのサイバー攻撃演習でした。値はこちらの資料(英語)をご参照ください。