2017年06月07日 12時00分 UPDATE
特集/連載

「WannaCry」だけではなかった7種のNSAサイバー兵器を悪用した新種のマルウェア「EternalRocks」、目的は? (1/2)

世界規模に被害が拡大したランサムウェア「WannaCry」に続き、「EternalRocks」というマルウェアが新たに見つかった。これは米国家安全保障局(NSA)のサイバー兵器7種を利用しているが、その目的はまだ謎だ。

[Michael Heller,TechTarget]
イメージ

 またしてもNSAのサイバー兵器を悪用した新種のマルウェアEternalRocksが見つかった。だが、できるだけ多くのシステムに感染を拡大する以外に何を目的としているのか、いまだ不明だ。

 ランサムウェアWannaCryは1週間もしないうちに30万台以上のシステムに広まり、アクセスの取得に「EternalBlue」、感染拡大に「DoublePulsar」という2種類のNSAサイバー兵器を悪用していた。今回新たに見つかったEternalRocksというマルウェアは、7種ものNSAサイバー兵器を利用している。

 EternalRocksを発見したのはクロアチア政府のコンピュータ緊急事態対応チーム(CERT)に所属するセキュリティ専門家ミロスラブ・シュタンパル氏で、Server Message Block(SMB)のハニーポットで感染を確認した。同氏が解析した結果、このマルウェアはNSAが開発した7つのSMBエクスプロイトを利用していることが分かった。アクセス取得用にEternalBlue、「EternalChampion」「EternalRomance」「EternalSynergy」、SMB偵察操作用に「SMBTouch」と「ArchiTouch」、感染拡大用にDoublePulsarの計7つだ。

 シュタンパル氏によると、EternalRocksの実行は複数段階に分かれている。まずEternalBlueでシステムに侵入し、次にTor経由でコマンド&コントロールサーバ(C&C)にアクセスし、それからコンポーネントをインストールする。

 GitHub GitHubにおけるシュタンパル氏の解説(出典:GitHub)《クリックで拡大》

 シュタンパル氏はGitHubへの投稿で次のように述べている。「最初の実行の後、shadowbrokers.zipというエクスプロイトパックをドロップし、これをアンパックしてpayloads/、configs/、bins/というディレクトリを展開する。次に、インターネット上で開いているポート445番(SMB)のランダムスキャンを開始し、(bins/ディレクトリに)含まれているエクスプロイトを実行して、(payloads/ディレクトリ内の)ペイロードによって第1ステージマルウェアをプッシュする。また、第1ステージからTorプロセスを実行し、C&Cからさらに命令を受け取る」

 このエクスプロイトパックには感染を広める目的で他のNSAサイバー兵器とDoublePulsarも含まれる、とシュタンパル氏は述べている。

       1|2 次のページへ

この記事を読んだ人にお薦めのホワイトペーパー

この記事を読んだ人にお薦めの関連記事

Loading

注目テーマ

ITmedia マーケティング新着記事

news014.jpg

「インスタ映え」の極意が調査で明らかに――動画の「いいね!」獲得数は静止画の3倍
秋の気配をスマホで切り取ってシェアしてみたくなるこの季節。リア充な人もそうでない人...

news018.jpg

サイバーエージェントがDDTプロレスリングを買収
サイバーエージェントは、DDTプロレスリングの発行済み株式の全株式を取得したことを発表...

news069.png

Twitter投稿を基に番組視聴者のペルソナを可視化、データセクションのテレビ番組口コミ分析サービスに新機能
データセクションは、テレビ番組口コミ分析サービス「TV Insight」において、ソーシャル...