2017年06月07日 12時00分 公開
特集/連載

7種のNSAサイバー兵器を悪用した新種のマルウェア「EternalRocks」、目的は?「WannaCry」だけではなかった(1/2 ページ)

世界規模に被害が拡大したランサムウェア「WannaCry」に続き、「EternalRocks」というマルウェアが新たに見つかった。これは米国家安全保障局(NSA)のサイバー兵器7種を利用しているが、その目的はまだ謎だ。

[Michael Heller,TechTarget]
イメージ

 またしてもNSAのサイバー兵器を悪用した新種のマルウェアEternalRocksが見つかった。だが、できるだけ多くのシステムに感染を拡大する以外に何を目的としているのか、いまだ不明だ。

 ランサムウェアWannaCryは1週間もしないうちに30万台以上のシステムに広まり、アクセスの取得に「EternalBlue」、感染拡大に「DoublePulsar」という2種類のNSAサイバー兵器を悪用していた。今回新たに見つかったEternalRocksというマルウェアは、7種ものNSAサイバー兵器を利用している。

 EternalRocksを発見したのはクロアチア政府のコンピュータ緊急事態対応チーム(CERT)に所属するセキュリティ専門家ミロスラブ・シュタンパル氏で、Server Message Block(SMB)のハニーポットで感染を確認した。同氏が解析した結果、このマルウェアはNSAが開発した7つのSMBエクスプロイトを利用していることが分かった。アクセス取得用にEternalBlue、「EternalChampion」「EternalRomance」「EternalSynergy」、SMB偵察操作用に「SMBTouch」と「ArchiTouch」、感染拡大用にDoublePulsarの計7つだ。

 シュタンパル氏によると、EternalRocksの実行は複数段階に分かれている。まずEternalBlueでシステムに侵入し、次にTor経由でコマンド&コントロールサーバ(C&C)にアクセスし、それからコンポーネントをインストールする。

 GitHub GitHubにおけるシュタンパル氏の解説(出典:GitHub)《クリックで拡大》

 シュタンパル氏はGitHubへの投稿で次のように述べている。「最初の実行の後、shadowbrokers.zipというエクスプロイトパックをドロップし、これをアンパックしてpayloads/、configs/、bins/というディレクトリを展開する。次に、インターネット上で開いているポート445番(SMB)のランダムスキャンを開始し、(bins/ディレクトリに)含まれているエクスプロイトを実行して、(payloads/ディレクトリ内の)ペイロードによって第1ステージマルウェアをプッシュする。また、第1ステージからTorプロセスを実行し、C&Cからさらに命令を受け取る」

 このエクスプロイトパックには感染を広める目的で他のNSAサイバー兵器とDoublePulsarも含まれる、とシュタンパル氏は述べている。

       1|2 次のページへ

ITmedia マーケティング新着記事

news155.jpg

2020年上期インターネット広告市場動向と下期業種別出稿動向予測――サイバー・コミュニケーションズ調査
国内のデジタルマーケティング業界の関係者を対象にした、新型コロナ禍におけるインター...

news162.jpg

「ダークソーシャル」はユーザーの行動にどれだけ影響するか――ホットリンク調べ
DM(ダイレクトメッセージ)をきっかけとする消費者行動の実態とは。

news155.jpg

東京五輪を「訪日観戦したい」 中国58.4%、米国21.0%――ブレインパッド調べ
東京五輪に関して世界の2大国で意識調査。米中ともに約半数が東京五輪の開催を希望してお...