組み込み開発視点で見る「IoTの影」（5）

ユーザーが意識しないIoTセキュリティを実現する（3/4 ページ）

公開 2017年01月16日 09時00分

更新 2017年01月26日 16時42分

著者

松岡正人

[TechFactory]

印刷する連載新着通知を受け取る

Stuxnetに見る都市伝説の崩壊

　ネットにつながっていないシステムへの攻撃が可能なことは、マルウェア「Stuxnet」によって証明された。エアギャップと呼ばれる未接続のネットワークへの感染については、人や人が使う身の回りの機器、あるいは保守に必要な機器を媒介にして行われてしまうことが分かっている。

　ではStuxnetがどのように感染していったのか見てみよう。ということで、SECURELISTのレポート「Stuxnet: Zero victims」を追ってみることにする。

　まず、Stuxnetワームには感染していったドメインをワーム本体に記録して保存する能力があり、2000を超える検体を2年以上に渡って分析した結果、どのように拡散し、最初は5つの組織が感染したことも分かっている。そして、これらの目的となる「インターネットに接続されていない核施設」にワームを送り込むことに成功し、施設（各施設の遠心分離機）の破壊に成功した。

Stuxnetは最初、5つの施設に感染したことが分かっている（出展：カスペルスキー）

　同様にエアギャップを超えた例がある。「Crouching Yeti」という名前でレポートが出ているが、Havexというマルウェアはより巧妙な手段を使って工場の制御システムに入り込んだ。

　Stuxnetについては、通常では不明瞭なことが多い感染ルートが明らかになっている点が非常に意義深い。

　感染ルートにおける1つ目の特徴は、正規のソフトウェアインストーラーによってマルウェアをダウンロードさせていることだ。産業用機器のデバイスドライバーや関連ソフトウェアにマルウェアのドライバーが組み込まれてしまうと、セキュリティアップデートなど含め、ソフトウェア更新を逆手に取って効果的に感染させることができる。

　これを防ぐにはダウンロードしたファイルが感染しているかいないか、常に確認する必要がある。しかし、高度な標的型攻撃の場合にはマルウェアの存在を見つけ出すことは難しい。動作を始めるまで分からないと言ってもよく、動き出して通信を開始するか、マルウェア（アプリケーションやデバイスドラバー）が起動した際に検知することのできる仕組みが必要となる。

　さらには幅広いインターネット上のサーバを経由して拡散したことが分かっている。感染したサイトのリストは以下の通りだが、面白いのはITや政府、エネルギー以外のサイトにも感染していることだ。中古楽器の販売サイトやスポンジボブのファンサイトを経由した感染が行われたということは、趣味や生活に関連したサイト、コミュ二ティなどのサイトは狙われやすいということになるだろう。

感染サイト	特　徴
Gse.com.ge	グルジア（ジョージア）の電力システム会社
Gamyba.le.lt	リトアニア最大の電力会社
utilico.co.uk	英国のユーティリティー投資会社
yell.ge	グルジア（ジョージア）のタウンページ
chariotoilandgas.com	ナミビア、モーリタニアの石油・ガス探査会社
longreachoilandgas.com	PETROMAROC、モロッコの石油会社に買収された(2014/July)
strainstall.com	英国の測量会社
jfaerospace.com	英国の航空機製造組み立て会社（strainstallと兄弟会社）
vitogaz.com	フランスのガス会社
bsicomputer.com	米国の産業用コンピュータシステム開発会社
energyplatform.eu	フランスの再生可能エネルギー産業プラットフォームの研究組織
firstenergy.com	カナダのエネルギー分野の投資銀行
rare.fr	フランスの環境関連の庁組織
used.samashmusic.com	米国の中古楽器販売サイト
sbmania.net	米国の「スポンジボブ」のファンサイト

　このようにインターネット上のサーバなどを経由して拡散する手法は一般的なものといえるが、Facebook、LinkedIn、LINEなどのソーシャルネットワークやメールはもちろんのこと、最近では携帯のショートメッセージも利用されてしまう。デジタルで改ざん可能なものは何でも使われているといったありさまだ。

次ページへもはや単一手段では対策しきれない