日本を狙う特定の環境でしか動作しないマルウェアの特徴とは?

カスペルスキーは12月7日、今年度のサイバー脅威の主要動向をまとめたレポートの発表に伴い、プレスセミナーを開催した。セミナーでは、2016年の世界のサイバー脅威の総括、2017年の動向予測、日本に対する脅威のトレンドについて説明が行われた。

初めに、代表取締役社長の川合林太郎氏は、「当社は"Save the World from IT threats(IT上の脅威から世界を守る)"をミッションとしているが、その実現に向けて2つのことをしている。1つは、脅威に対抗するテクノロジーの開発であり、もう1つはそのテクノロジーを広く伝えることだ。テクノロジーだけでは脅威に対抗することはできない。ITを利用する人たちに脅威について、知ってもらう必要がある。ITを利用する際は、運用において何が問題であるか、何を守るのかを理解する必要がある。そして、運用を行う人であるので、教育が必要となる」と語った。

続いて、Kaspersky Lab グローバル調査分析チーム　APAC ディレクター ヴィタリー・カムリュク氏が、プレゼンテーションを利用せずに、2016年の世界のサイバー脅威の総括を行うという試みが行われた。

セミナーの参加者には事前に封筒が配布され、その中に「日常生活で起きた不思議な出来事」が書かれた紙が入っていた。その紙に従って、説明が行われた。

セミナーで紹介された「不思議な出来事」は以下のとおりだ。

1. iPhoneにアプリをインストールできなくなった。
2. 自社のCEOが海外に資金を送金し、失踪した。
3. 子どもの水筒に入れた水の味がおかしい。
4. 警察が自宅にやってきて、電化製品を持ち去った。
5. 飛行機に隣に乗り合わせた人に仕事の話を持ちかけられた。

カムリュク氏はこうした事象の裏では、サイバー攻撃が発生しているおそれがあると指摘した。

例えば、「iPhoneにアプリをインストールできなくなった」という事象の裏には、WindowsベースのPOSシステムが不正アクセスを受けて、クレジットカードが流出し、そのデータをもとに銀行口座の預金を盗まれ、クレジットカードが決済できなくなってしまっているおそれがあるという。

また、「子ども水筒に入れた水の味がおかしい」という事象については、水道に関連した施設がサイバー攻撃を受け、水に有害物質を混入させられた疑いがあるという。

上記の5件を引き起こしたサイバー攻撃は、実際に発生しているのだという。また、ウクライナでは電力会社がサイバー攻撃を受けて、停電が発生しており、社会インフラがサイバー攻撃のターゲットとされる事案が増えている。カムリュク氏は「サイバー攻撃が人命に影響を及ぼす事態が発生している」と警告した。

最後に登場したカスペルスキー 情報セキュリティラボ セキュリティリサーチャー 石丸傑氏は、日本における脅威のトレンドについて説明を行った。同氏は、国内において、特定の環境でしか動作しないマルウェア「Emdivi」「Elirks」を紹介した。

「Emdivi」は日本年金機構からの情報流出に用いられたマルウェアだ。石丸氏は、「Emdivi」が特定の環境でしか動作しないことを裏付けるデータとして、「Emdivi」が用いられたサイバー攻撃「ブルーターマイ」に関連した検体は600以上発見されているにもかかわらず、そのうちの6%は特定の環境でしか動作しないEmdiviであることを挙げた。

EmdiviはSIDを不正に入手し、その値を持つ環境でしか動作・解析ができないような仕組みになっている。加えて、通信先やバックドアコマンドが暗号化されているため、解析が難しいという。

一方、「Elirks」は日本・台湾・ロシアを標的としたマルウェアであり、新しいところでは、11月に標的型攻撃を受けたことを発表された経団連に侵入したことが明らかになっている。

石丸氏は「Elirks」の特徴として、インストーラのアイコンがフォルダを偽装していること、正規のブログへの通信を行ってその書き込みから暗号化された文字列を抽出し、本来の指令サーバである通信先の復号を行うことを挙げた。

「Elirks」の検体は200以上発見されているが、それらのうち3%は特定の環境でしか動作しないという。

さらに、石丸氏は、攻撃者は「特定の環境でのみ動作するマルウェアを用いる」という、いわゆるホワイトリスト方式に基づく手法をとるようになってきているが、これは攻撃にかかるコストを押し上げていると指摘した。

こうした石丸氏の話を受け、川合氏は「これまで、攻撃者と防御する側はいたちごっこの戦いを続けており、"あきらめの境地"にあるとも言われてきた。しかし、昨今は、攻撃者が攻撃を行うにあたり、コストをかけざるえない状況になってきている。これは、セキュリティベンダーのさまざまな取り組みを行ってきたこと、その取り組みにより開発された技術を利用者が使うこと、攻撃が起きた場合に公表することなどを続けてきたことが、攻撃がしづらい状況を生んでいると言える。これからもこうした取り組みを続けていきたい」と話し、セミナーの結びの言葉とした。