ロシアの国家ハッカーグループがUSBベースのスパイ活動用マルウェアを世界中に拡散しています。このハッカーグループはウクライナの組織だけを標的にしていることで知られていました。いったいなぜ、世界中に広がったのでしょうか？テックメディア「Ars Technica」が報じています。
*Category:
ロシア国家ハッカーのマルウェアが世界に拡散
Gamaredon（別名をPrimitive Bear、ACTINIUM、Armageddon、Shuckwormなどという）は、少なくとも2014年から活動しているハッカーグループです。ウクライナ安全保障局は、このグループはロシア連邦保安庁のものだと推定しています。多数のウクライナの組織を標的にしたスパイ活動からは、ロシア政府との結びつきを容易に察知することができるとのこと。グループの活動は通常、標的から可能な限り多くの情報を得ることを目的としたマルウェアを中心に展開されています。
そのツールの1つが、USBドライブを通じてコンピュータからコンピュータへと拡散するように設計されたPCワームです。チェック・ポイント・リサーチの研究者が追跡したマルウェア「リッター・ドリフター」は、USBドライブからUSBドライブへと無差別に拡散することと、ドライブに接続するデバイスを、Gamaredonが運営するコマンド・アンド・コントロール・サーバーと通信を行う不正プログラムに永続的に感染させるという2つの役割を果たしています。
Gamaredonは、ウクライナをターゲットとした攻撃を仕掛けていますが、USBワームの性質上、米国、ベトナム、チリ、ポーランド、ドイツなど、さまざまな国で感染の可能性が指摘されています。
ワームは、ユーザーが何らかのアクションを起こすことなく拡散するマルウェアの一種です。自己増殖型のソフトウェアであるワームは、指数関数的な規模で爆発的に増殖することで知られています。
テックメディア「Ars Technica」は、米国家安全保障局（NSA）とイスラエルが以前に共同で作成したワーム「Stuxnet（スタックスネット）」が、このようなスパイ機関にとって教訓となっていると指摘しています。「Stuxnet」の作成者は、イランのウラン濃縮プログラムに参加している比較的少数のターゲットだけを感染させるつもりだったものの、より広範囲に拡散し、世界中で推定10万台のコンピューターに感染しました。「NotPetya」や「WannaCry」のようなUSB非活性化ワームは、さらに多くのコンピュータを感染させたとのこと。
技術としては比較的単純なものだそうですが、一方で非常に効果的とのこと。ワームは感染したシステムに関する情報（コンピュータ名、ユーザー名、IPアドレス、オペレーティングシステム、プロセスリスト、ハードドライブ上のファイル、USBドライブなど）を収集することが可能で、政府などのPCに感染していれば、情報は筒抜けになる可能性があります。
LitterDrifter is a worm with uncontrolled expansion, meaning it spreads opportunistically by taking advantage of the movement and exchange of USB drives among individuals and organizations. It doesn’t have a specific target but can infect systems in various countries, without regard to the industry sector or security level. Consequently, it can affect critical systems, including infrastructure, public services, or government institutions.
訳：リッター・ドリフターは無秩序に拡大するワームであり、個人や組織間でのUSBドライブの移動や交換を利用して日和見的に拡散する。特定のターゲットを持たず、業種やセキュリティ・レベルに関係なく、さまざまな国のシステムに感染する可能性がある。その結果、インフラ、公共サービス、政府機関などの重要なシステムに影響を及ぼす可能性がある。
チェック・ポイントの研究者は、「リッター・ドリフター」が、大規模な収集活動を支援するために設計されたことは明らかであり、シンプルながら効果的なテクニックを駆使して、この地域の可能な限り広範なターゲットにリーチすることができる」と述べ、同グループがウクライナで活動を続けていることからも「かなりの有効性を示している」と指摘しました。