2017年06月07日 12時00分 UPDATE
特集/連載

「WannaCry」だけではなかった7種のNSAサイバー兵器を悪用した新種のマルウェア「EternalRocks」、目的は? (1/2)

世界規模に被害が拡大したランサムウェア「WannaCry」に続き、「EternalRocks」というマルウェアが新たに見つかった。これは米国家安全保障局(NSA)のサイバー兵器7種を利用しているが、その目的はまだ謎だ。

[Michael Heller,TechTarget]
イメージ

 またしてもNSAのサイバー兵器を悪用した新種のマルウェアEternalRocksが見つかった。だが、できるだけ多くのシステムに感染を拡大する以外に何を目的としているのか、いまだ不明だ。

 ランサムウェアWannaCryは1週間もしないうちに30万台以上のシステムに広まり、アクセスの取得に「EternalBlue」、感染拡大に「DoublePulsar」という2種類のNSAサイバー兵器を悪用していた。今回新たに見つかったEternalRocksというマルウェアは、7種ものNSAサイバー兵器を利用している。

 EternalRocksを発見したのはクロアチア政府のコンピュータ緊急事態対応チーム(CERT)に所属するセキュリティ専門家ミロスラブ・シュタンパル氏で、Server Message Block(SMB)のハニーポットで感染を確認した。同氏が解析した結果、このマルウェアはNSAが開発した7つのSMBエクスプロイトを利用していることが分かった。アクセス取得用にEternalBlue、「EternalChampion」「EternalRomance」「EternalSynergy」、SMB偵察操作用に「SMBTouch」と「ArchiTouch」、感染拡大用にDoublePulsarの計7つだ。

 シュタンパル氏によると、EternalRocksの実行は複数段階に分かれている。まずEternalBlueでシステムに侵入し、次にTor経由でコマンド&コントロールサーバ(C&C)にアクセスし、それからコンポーネントをインストールする。

 GitHub GitHubにおけるシュタンパル氏の解説(出典:GitHub)《クリックで拡大》

 シュタンパル氏はGitHubへの投稿で次のように述べている。「最初の実行の後、shadowbrokers.zipというエクスプロイトパックをドロップし、これをアンパックしてpayloads/、configs/、bins/というディレクトリを展開する。次に、インターネット上で開いているポート445番(SMB)のランダムスキャンを開始し、(bins/ディレクトリに)含まれているエクスプロイトを実行して、(payloads/ディレクトリ内の)ペイロードによって第1ステージマルウェアをプッシュする。また、第1ステージからTorプロセスを実行し、C&Cからさらに命令を受け取る」

 このエクスプロイトパックには感染を広める目的で他のNSAサイバー兵器とDoublePulsarも含まれる、とシュタンパル氏は述べている。

       1|2 次のページへ

この記事を読んだ人にお薦めの関連記事

注目テーマ

ITmedia マーケティング新着記事

news071.jpg

ビジネスサーチテクノロジ、ECサイト内検索ガジェット「ポップファインド」を提供開始
ビジネスサーチテクノロジは、ECサイト内検索ガジェット「ポップファインド」の提供を開...

news018.jpg

刺さる企業動画とは? ONE OK ROCK出演のHondaJet CMがブランド部門1位──エビリー調査
エビリーは2018年第1四半期のYouTube企業動画ランキングを発表。ONE OK ROCK出演の本田技...

news020.jpg

「ABMは営業視点のマーケティング」の真意とは?――庭山一郎氏×佐久間 衡氏
日本のB2Bマーケティングをけん引する論客2人が、ABMで成果を出すための本質的な考え方に...