無人機による攻撃で石油施設に大きな被害を受けたサウジアラビア国営石油会社のサウジアラムコ。世界最大規模の原油生産を誇る同社施設への攻撃が世界の石油市場を“直撃”している。イエメンの親イラン組織フーシが犯行声明を出したが、アメリカとサウジアラビアはイランが攻撃を行ったとの見方をしている。サウジアラムコに対しては7年前の2012年には3万台ものコンピューターが破壊されるサイバー攻撃が行われた。中東におけるサイバー事象と政治・経済情勢はリンクしているように見える。シマンテックが最近配信したブログ記事に、サウジアラビアのITプロバイターを標的にしたサプライチェーン攻撃について分析した投稿がある。サプライチェーン攻撃とは、特定の企業等をサイバー空間で攻撃する際、ターゲットに直接攻撃を仕掛けるのではなく、サプライチェーンを標的にして攻撃する手法で、コンピューターによるネットワーク化が進むことで健在化してきた攻撃手法だ。シマンテックのブログによると、少なくとも2018年7月から活動しているTortoiseshellというグループが顧客への侵害を目的にサウジアラビアのITプロバイダーを標的に攻撃をしており、直近では今年7月に活動が行われたという。シマンテックでは攻撃を受けた11の組織を特定しているという。Frogというツールが展開していたという。Frogというのはバックドアで、BondUpdaterというツールの一種であり、BondUpdaterは中東の組織に対する攻撃でこれまでも使用されていたものだという。Mr_L4nnist3rというハンドルネームを持つ者がツィッターやハッキングフォーラムに登場し、OilRigと呼ばれるハッカーグループのデータへのアクセス権があることを主張した。Dookhteganというハンドルネームをもつ者によりOilRigグループのハッキングツールがリークされるという事件があった。リークされたデータについてサイバーセキュリティの分析機関が検証した結果、真正なデータだと判断された。何者かがOilRigのデータを漏らしたのだ。Cyberspace」でも「歴史的にはサウジアラビアを標的にしていたが、アメリカの金融システムやIT企業への攻撃も増加している」とOilRigについて記している。FireEyeはOilRigについて、イラン政府に代わって機能していると評価している。別にAPT34としてセキュリティ企業等が監視してきたグループと活動が同じであることがわかり、今はOilRigとAPT34は同一グループとされている。Frogが展開していたという。Telegramチャンネルにリークしたデータから、イランの脅威とされるOilRigと関係しているツールであることが判明しているため、シマンテックのブログ記事はサウジアラビアのITプロバイダーへの攻撃もイランと関わりがあるOilRigによる攻撃の可能性を示唆させる。Frogを使用した可能性もあるとの見解を示している。今回、無人機による攻撃を受けたサウジアラビア国営石油会社のサウジアラムコは2012年8月には大規模なサイバー攻撃を受けている。この時は3万台以上のコンピューターに影響があったが、石油生産施設は独立したシステムを構築していたため石油生産への直接の影響はなかった。この時、攻撃に使用されたのがshamoonと呼ばれるマルウェアだ。シマンテックによればshamoonは侵入したコンピューターのファイルを破壊し、MBR(マスターブートレコード)を上書きしてコンピューターを破壊するサイバー兵器とも言えるマルウェアで、攻撃を受けたサウジアラムコのコンピューターには燃やされているアメリカの国旗の画像だけが残されていた。シマンテックの分析によれば、shamoonコンポーネントに含まれるwiperがコンピューターの破壊機能を担っている。shamoonは2012年8月のサウジアラムコの攻撃で使用されて以降、姿を消していたが、2016年11月に破壊力を増して再び登場した。2016年に攻撃されたのもやはりサウジアラビアで、政府機関やエネルギー、運輸業界などの関連組織がターゲットになった。攻撃は現地時間の2016年11月17日午後8時45分に開始されるようにセットされ、破壊したコンピューターにはアメリカの国旗を焼く画像ではなく地中海で溺死したシリア難民の子供の遺体の画像が残されていたという。マカフィーによると2016年に使われたshamoonは、2012年に使われたコードの90%を再利用したものだという。その2年後の2018年12月には、イタリアのエンジニア会社のSaipemの中東のサーバーがサイバー攻撃を受け、使われたマルウェアがshamoonだったことが同社の発表で明らかになった。Saipemの最大の顧客はサウジアラムコで、2019年1月にはサウジ沖の海底油田2カ所の開発を請け負う総額13億ドルの契約をサウジアラムコと締結している。シマンテックによるとSaipemへの攻撃で使われたshamoonは、消去機能をもつマルウェアFileraseが加えられて破壊力が増加しているという。マルウェアにも感染していたという。Stonedrillは、ロシアのサイバーセキュリティベンダーのカスペルスキーが2016年に再登場したshamoonの探査の過程で新たに発見したマルウェアだ。FireEyeによるとAPT33は2013年頃よりサイバースパイ活動を展開しており、アメリカ、サウジアラビア、韓国を拠点にしている企業をターゲットにし、特に航空業界や石油化学生産と関連のあるエネルギー業界の企業に高い関心を示している。2016年半ばから2017年前半にかけてアメリカの航空業界に不正アクセスしたほか、航空部門を擁するサウジアラビアのコングロマリット(複合企業)をも標的とし、2017年5月にはサウジアラビアの企業と韓国のコングロマリットを標的にしたとみられるという。FireEyeはAPT33の活動時間がイランの時間帯と合致する点やイランのハッカーツールやネームサーバーを複数使用している点、国家の利益と緊密な関係のあるエネルギー業界や航空業界を標的としている点などからAPT33はイラン政府の支援を受けているイランのハッカー組織との見方をしている。シマンテックによると、2018年12月にshamoon攻撃を受けたSaipemは、その直前にイラン政府の支援を受けたハッカー集団ともみられているAPT33によるStonedrill攻撃を受けていて、そのStonedrillはカスペルスキーが2016年のshamoon攻撃について探査をしていた時に発見したマルウェアであることを考えれば、shamoonとStonedrill、そしてAPT33との間にはなにかしらの関係があるように見える。シマンテックもSaipemへの攻撃に関し「Elifin(APT33)とshamoonの攻撃が近接していることを考えると、2つのインシデントにはなんらかのつながりがあるのかもしれません」と評価している。ところで2012年8月にサウジアラムコが破壊的な機能を担うwiperを有するshamoonによるサイバー攻撃を受けた4カ月前、2012年4月にはイラン石油省にサイバー攻撃があり、石油省本部のコンピューターのハードディスクデータが消去されたとの報道が行われた。4月23日のニューヨークタイムズの記事は、イラン学生通信社の報道としてマルウェアの作成者名からwiperと呼ばれるコンピューターウィルスが石油省を標的にしたと伝え、イラン当局は3月に攻撃に気づいたがマルウェアを除去できなかったとイランの報道を受けて報じている。wiperがメディアに初めて登場したのはこの時だ。その4カ月後にサウジアラムコがサイバー攻撃を受けてwiperは大きく注目されることになった。shamoon攻撃にはイラン政府が関与しているとの見方が根強くある一方、shamoonで使われるwiperの攻撃を最初に受けたのがイラン石油省との報道がある。ニューヨークタイムズの2012年10月の記事は、shamoonのプログラムのコードには「アラビア湾」という言葉が使われているが、イラン人はアラビア湾ではなく「ペルシャ湾」を使うことを指摘、サウジアラムコに対する攻撃はイランへのサイバー攻撃に対する報復ではないかとしている。当時の米国防長官のレオン・E・パネッタ氏はサウジアラムコに対するサイバー攻撃についてサイバー脅威の大幅な拡大であるとの認識を表明している。AFPの当時の記事はイランのサイバー戦能力が急速に増強していることを驚きをもって受けて止めているとの米シンクタンク研究者の見解を伝えるともに、スタックスネットによる攻撃を受けたことでイランがサイバー戦の強化に走ったのではないかとの見解を記している。コメントをキャンセルコメントを投稿するにはログインしてください。