30日後、C&Cから命じられない限り、Duquは自身を消去して侵害の痕跡を制限する。11月4日に追加した質問A:様々な要素から見て、民族国家だろう。Duquに関して、断定できることは?A:「オペレーションDuqu」のソフトウェアコンポーネントは、非常に熟練した開発者とエクスプロイトアナリストのチームにより作成されたということだ。それが何であれ、糸を引く民族国家の関係者が利益を得るためには、非常に重要なことに違いない。この件の関係者にとって、Windowsカーネル脆弱性を開示するリスクは、その利益を上回ったのだろう。部外秘の情報を知る者以外、Duquの本当の目的を明確にすることはできない。識別可能な直接行動が起きるまでは。Q:では、Duquの背後には政府機関がいると考えているのか?A:そうだ。政府関係者がDuquのようなマルウェアを使用するべきなのか?A:採決はされていないようだ。R2D2は警察の監視のために作成されたトロイの木馬だ。ゼロデイエクスプロイトや正当なハードウェアベンダから盗まれた証明書により署名されたドライバは使用していなかった。R2D2は通常の警察業務のため、ドイツ当局により制作を依頼されたものだ。Q:でも警察のトロイの木馬は良く無いのでは?A:そう、マルウェアはしばしばコントロールを逃れる方法を見つける。我々には決して良い考えとは思えない。Q:R2D2はどの程度悪いのか?A:R2D2は、ドイツの法律により許可された範囲を遙かに超えているように見える。これはドイツで法的、政治的混乱を引き起こしたが、技術的にはそれほどでもなかった。我々のシステムオートメーションは、人間のアナリストが気づくよりずっと以前に、R2D2は信頼されるべきではないと判定した。警察にとってR2D2を価値あるものにしたのは限られた導入基盤だ。それは実際、犯罪者に採用され得る方法では革新的とは言えなかった。Stuxnet/Duquは革新的なのか?A:そう、非常に。脆弱性が明らかになれば、我々(および他の人々)はこの新たなエクスプロイトのため強力なジェネリック検出を作成するため、膨大な仕事をする必要があるだろう。ラボの他のメンバーは、収集したファイルの再スキャンと結果の処理を行うべく、C-Mediaにより署名されたソフトウェアのためファイルのデータマイニングを行う必要があるだろう。Duquは技術的な頭痛の種となり、得た教訓は犯罪者により、どこかの時点で採用されるだろう。Q:DuquはStuxnetとは関係無いという人々はどうなのか?A:2つのオペレーションの類似点を比較してみよう。インストーラはゼロデイWindowsカーネル脆弱性を利用する。盗まれた証明書で署名されたコンポーネントがある。高度な諜報活動を示唆する方法で標的が定められている。Duquのインフラをコード化し、構築した技術開発チームは、Stuxnetの開発を行ったチームとは部分的に異なるかもしれない。攻撃が高度に標的を定めているところから、かなりの人的情報収集作業が行われているものと考えられる。この諜報活動は、同じ、もしくは異なるアナリストにより行われたかもしれないが、それはあまり重要ではない。チームの構成がどうであれ、これらオペレーションの類似点は、糸を引いている民族国家関係者が共通であることを示唆している。少なくとも近い将来にはないだろう。Duquが引き起こした状況から、どのような種類の開示も阻止されている。しても、あまり驚きはしない。最後の(今のところ)質問:オペレーションDuquは電子メールの添付ファイルを使用した。それは誰もが用心すべきものではないだろうか。その他のリソースへのリンクについては、昨日の記事を参照して欲しい。前提は成り立たなくなっている。2009年03月Ustream生中継アーカイブエフセキュアブログ開設1周年を記念して6月8日に開催したパネルディスカッションの模様をご覧いただけます。横浜発オフィシャルコメントつぶやき「最新トラックバック」は提供を終了しました。掲載して毎月一回配信します。アドレスのみの登録で購読無料。