「ComRAT」などが、いずれも共通の開発元(=プロジェクト・コブラ)によって作成された可能性が高いという分析結果を出したことを、ここにお伝えします。DATAセキュリティラボは、「ウロボロス」という強力なスパイ機能をもったルートキットを発見したことを発表しました。その後この「ウロボロス」は、マルウェア「Agent.BTZ」と関係があるのではないかという見方がなされました。「Agent.BTZ」は、最初に発見されたのは2006年ですが、2008年秋に大きく話題になりました。スパイウェア「SillyFDC」の亜種で、コンピュータのデータをスキャンして外部と自由にやりとりのできるバックドアを開き、そこを通じて遠隔操作を行い、サーバーをコントロールし、データを送りだします。最終的には、米国の中央司令部に置かれているラップトップコンピュータに侵入し、イラクやアフガニスタンにいる司令官が使う戦闘計画など、いくつかの機密情報が盗まれました。当時このことは極秘でしたが、2014年になって明らかにされました米国はこのワームを駆除すべく「バックショット・ヤンキー作戦」を敢行しますが、軍事ネットワーク全体が健常化するのに、およそ14カ月もの歳月を費やしました。その状況をふまえて米国は「サイバー軍」を開設しました。DATAセキュリティラボはきわめて強力なルートキット「ウロボロス」を発見しました。これには、外部から情報を盗み出すスパイウェアが搭載されており、その挙動はすべて表には見えません。インターネットに接続されていないコンピュータも、間接的にネットワークを通じて感染可能という特徴をもっています。プログラム設計のデザインや複雑さから、これは、個々のネット犯罪者たちの仕業ではなく、「Agent.BTZ」をつくりだした組織のような、国家レベルの諜報機関によるものと推測されました。その後、2014年2月にベルギーとフィンランドの外務省も「ウロボロス」によって機密情報が狙われました。2014年11月には「Agent.BTZ」の亜種と思われるスパイウェア「ComRAT」が出現しました。「ComRAT」は、その名から分かるとおり、「Com」という、アプリケーションソフトウェアの開発を容易にするためにマクロソフトが用意した「コンポーネント・オブジェクト・モデル」の略称のとおり、マルウェア作成者はこの仕組みを悪用しユーザーやセキュリティソフトに気づかれないように活動できる隠れ場所をつくりだし、その結果、コンピュータを乗っ取り、一見ブラウザがデータをやりとりしているように見せかけて、実は、ネットワークの外部へとデータを盗みだすものです。後半の「RAT」は、サポートなど、外部からパソコンを操作するために用いられる「リモート管理ツール」の略称で、ハッカーはこの機能を悪用して外部からマルウェアを操作するのです。解析の結果、「カーボン」もまた、「Agent.BTZ」や「ウロボロス」「ComRAT」ときわめて類似した仕組みをもっており、技術的特徴として、暗号鍵、アルゴリズム、デザインなどに共通点がありました。時期としては「Agent.BTZ」の後に開発され、「ウロボロス」よりも前に開発されたものと推定されました。「カーボン」を分析することによって、プロジェクト「コブラ」とこれらのマルウェアとの関連性が見えてきました。「カーボン」もまた、大規模ネットワークへの攻撃に利用されるための仕組みを備えています。構造をもち、標的のシステムに合わせて内容を変えてマルウェアをダウンロードさせます。「カーボン」のなかで「コブラ」が果たす役割は、拡張可能なフレームワークと考えられます。Backdoor」(カスペルスキー))によってコンピュータに投げ込まれます。利用の流れは、まず、PDFやJavaの脆弱性を利用してコンピュータに偵察ツール(Wipbot/Tavdig)を潜入させ、感染したシステムによって、攻撃者は、「カーボン」か「ウロボロス」か、いずれかを次のツールを投下します。特定させないようにしているため、通常のソフトウェアでは検出できませんし、IOC(脅威指標)を使っても、うまく突き止められません。DATAのセキュリティソフトの場合、このマルウェアは、以下の名称で検出されます。Win32.Trojan.Cobra.Bまた、コンパイルのパスを次のように特定されます。f:\Workshop\Projects\cobra\carbon_system\x64\Release\carbon_system.pdbこのパスから、「カーボン」が「コブラ」の一部であることが容易に理解できるでしょう。(Agent.BTZの直系の亜種)プロジェクト「コブラ」の大きな特徴としては、新たなツールを開発すると、これまでのツールは一度使うのを止め、別系統のツールに移行しますが、しばらく時間が経過すると、かつての亜種が再び現れるということになりそうです。現在、世界では、目に見える形でテロや人質による要求の提示や戦闘が行われていますが、同時に、サイバー空間においても、熾烈な戦いが続いています。日本語圏においても、決して他人事ではなく、サイバー攻撃を受ける可能性を常に自覚して、インターネットやコンピュータを利用しなければならない時代となりました。攻撃は官公庁だけとはかぎりませんので、みなさまにおかれましては、くれぐれもご注意ください。*さらに詳細な情報は、下記のリンクURL先にあります(英文)。本公開内容に関するお問い合わせについては、下記までお願いします。reserved.個人情報の取り扱いについて。