トレンドマイクロは、2014年12月、米連邦捜査局（FBI）が「破壊的な不正プログラム」として注意喚起した「WIPALL」ファミリの解析、また Sony Pictures を狙った大規模な攻撃との直接的な関係性について本ブログ上で述べました。本稿では、「WIPALL」ファミリの亜種についての詳細と Sony Pictures の感染PC上に表示された「＃GOP」と名乗るグループからの警告メッセージに関連した主な不正活動について述べます。図1 は、今回取り上げる不正プログラムの感染連鎖です。
2014年12月中旬以降、韓国において原子力発電関連の情報漏えいが発生し、大きく報道されています。 これに伴い、この情報漏えいを行った攻撃者と見られるグループからは、韓国電力公社配下の韓国水力原子力発電（Korea Hydro & Nuclear Power、KHNP）に対し破壊的な不正プログラムによる攻撃を行ったとの声明も報じられています。この問題になっている「破壊的な不正プログラム」は、感染PC のハードディスクを破壊するため、「マスター・ブート・レコード（MBR）」を「一掃」するように設計されています。また、標的システムへの侵入には、韓国で広く使用されている文書ソフトウェア「アレアハングル」で作成された文書ファイル（拡張子HWP）の脆弱性を利用したと考えられています。また、問題の HWP の文書ファイルを開封させるために様々なソーシャルエンジニアリングの手法が利用されていました。
続きを読む米連邦捜査局（FBI）は、2014年12月2日（米国時間）、「破壊的な不正プログラム」について米国の企業に警告を発しましたが、「Trendlabs（トレンドラボ）」では、この不正プログラムの検体を入手しました。Reuters によると、Sony Pictures へのサイバー攻撃を受け、FBI はこの新しい「破壊的な不正プログラム」に対して企業に注意を促しました。なお、Sony Pictures への攻撃と FBI が言及した不正プログラムの関連性はまだ検証されていません。
続きを読む
