by:ショーン・サリバンその複雑さから、「Duqu」の事例を理解するのは難しい。Duquをとりまくニュースや進展のため、これは実際、非常に幅広い質問だ。狭義で言うなら、Duquはごく限られた国のごく限られた組織を対象とした高度な標的型攻撃の一部として用いられているWindowsボット(ワームでは無い)だ。Duquはそれ自体では拡散しない。ある既知のケースでは、Duquは電子メールメッセージを介して受信された添付ファイルによりインストールされた。多くの標的型攻撃が、この手法を用いている。Playerにあるゼロデイ脆弱性を悪用したFlashオブジェクトを使用した。Duquのインストーラが使用するゼロデイは、Windowsカーネルの脆弱性を悪用する。(2639658)」を公開した。PlayerエクスプロイトよりもWindowsカーネルエクスプロイトの方が、どのくらい高度なのか?A:え、何?Q:いや、真面目な話、どれくらい?A:相当に。Playerとして広くインストールされているにしても、Windowsカーネル脆弱性/エクスプロイトは、はるかに価値がある。Q:では、このWindowsカーネル脆弱性を修正できないなら、どうすればいいのか?A:待つことだ。Responseが同脆弱性を調査しており、ソリューションの準備をしている。同エクスプロイトドキュメントが広まっている範囲は非常に限定されており、NDA下にある。高度な標的型攻撃であるため、ドキュメント自身、標的のアイデンティティを明らかにする可能性が高い。Lab(Duquの発見者)は、彼らのカスタマのプライバシーが保護されない限り、同ドキュメントを公開することができないのだ。Duquのインストーラは「イン・ザ・ワイルド」ではないのか?A:一般的には違う。他に発見されていない亜種がある可能性はあるが。Q:ではDuquは私にとって脅威なのか?A:あなたが誰なのか次第だ。Duquは最終的には大きな問題を引き起こすだろう。Duquはどんな問題を引き起こすのか?A:MicrosoftがWindowsカーネル脆弱性を修正すれば、野放しの犯罪者たちはリバースエンジニアリングを行うことができ、脆弱性を発見することになる。その時点で、最新の状態にないWindowsコンピュータはすべて、非常に深刻なエクスプロイトであることになりそうなDuquに対して、より脆弱となるだろう。今はまだ?A:その通り。既知のあるケースでは、Duquにより用いられたドライバは、台湾のハードウェア会社C-Mediaに発行され、盗まれた証明書を使用して署名されていた。署名付きドライバは、署名のないドライバに注意を促し、インストールを拒否するセキュリティポリシーを回避することができる。セキュリティポリシーは本質的に、署名のないドライバを信用しないよう設定されるものだ。ドライバが既知のベンダにより署名されていれば、信用レベルは高い。ゼロデイや署名付きドライバのためなのか?A:そのほか、DuquはStuxnetと「関連がある」ためだ。「Duqu」のコンポーネントは「Stuxnet」のコンポーネントとほぼ同じもので、両者は共通のソースコードにアクセスできる何者かにより書かれているようなのだ。Q:「Duqu」と「Stuxnet」には他にも関連があるのか?A:「Duqu」により使用されるドライバは、台湾のハードウェア会社JMicronからのものだとしている。StuxnetはJMicronから盗まれた証明書で署名されたドライバを使用していた。証明書はどのように盗まれたのか?A:不明だ。どれくらい盗まれたのか?A:台湾の3つのハードウェアベンダC-Media、JMicron、Realtekのケースが判明している。Q:何故「Duqu」は台湾に関係しているのか?A:不明だ。「Duqu」は他にも何か?A:広義では、Duquは民族国家により展開されている(あるいは公認されている)「組織的行動」もしくは「ミッション」だ。Q:「組織的行動」というのはどういう意味か?A:「Duqu」は、何らかのスパイ活動もしくは偵察任務であるように見えるのだ。(FORECON)チームが「グリーン作戦」と呼ぶものと見なすことが可能だ。Q:では「Duqu」は単なる悪意あるコードではないのか?A:ソフトウェアコンポーネントは、我々がDuquと呼ぶものの一部にすぎない。こんな風に考えてみて欲しい。Duquソフトウェアがあり、そしてオペレーションDuquも存在する、と。Stuxnetワームはどうなのか?A:オペレーションStuxnetで使用されているインストーラは、高度なUSBワームだ。このワームは拡散を容易にするため、ゼロデイWindows脆弱性を用いる。Q:オペレーションDuquとオペレーションStuxnetのミッションは同一なのか?A:いや。オペレーションStuxnetは、むしろ直接行動を含むミッションである「ブラック・オペレーション」に近い。Stuxnetのケースでは、イランの原子力施設の操業を中断させるという行動がなされた。オペレーションStuxnetは非常に複雑で、巧妙でもあった。Stuxnetワームと付随的なコンポーネントは、地理的にかなりの距離を移動する必要があった。インターネットに接続していない閉ざされた標的に、オートパイロットで、コールホームすることなく、侵入する必要があった。Q:ではStuxnetがインストーラ/感染ベクタとしてUSBワームを使用したのはそのためか?A:そうだ。困難な緩和要素のため、Stuxnetは外部資源無しに自身を拡散する必要があった。それ故、多数のゼロデイエクスプロイトを備えていたのだ。Stuxnetの感染力は過剰であるように見えるが、そのミッションは成功しているようであり、Stuxnetの背後にいる連中はおそらく過剰とは考えていないのだろう。Duquはどのように異なっているのか?A:Duquは高度だが、自立的に行動するように作成されてはいない。インストーラが標的を感染させれば、Duquはコマンド&コントロール(C&C)サーバにコールホームする。現在分かっているサーバは2つある。1つはインドに、もう1つはベルギーにあった。これらのIPアドレスは、現在はアクティブではない。C&Cによりどんな活動が行われたのか?A:既知のあるケースでは、Duquは標的からデータを収集するため、Infostealerをダウンロードした。そのInfostealerは実のところ、盗まれたデータに関連するログファイルに「DQ」をプリペンドすることから、Duquの名称のもととなったコンポーネントだ。Q:C&Cは他に何をすることができるのか?A:たとえば共有ネットワークリソースを介して、それ自身を標的ネットワークで拡散するようDuquに命じることができる。Q:Duquは収集したデータをどのようにC&Cに送信するのか?A:データを暗号化し、それをJPG画像に追加する。誰かがネットワークトラフィックをモニタしていても、機密資料ではなく、無害に見える画像ファイルが見えるだけだからだ。詳細はここを参照して欲しい。