CROUCHING YETI から見る産業システム攻撃・諜報活動の高度化

Size: px

Start display at page:

Download "CROUCHING YETI から見る産業システム攻撃・諜報活動の高度化"

しほこおおかわち
5 years ago
Views:

Japan Computer Emergency Response Team Coordination Center CROUCHING YETI から見る産業システム攻撃諜報活動の高度化株式会社カスペルスキービジネスデベロップメントマネージャー松岡正人 (masato.matsuoka@kaspersky.

1 Japan Computer Emergency Response Team Coordination Center CROUCHING YETI から見る産業システム攻撃諜報活動の高度化株式会社カスペルスキービジネスデベロップメントマネージャー松岡正人電子署名者 : Japan Computer Emergency Response Team Coordination Center DN : c=jp, st=tokyo, l=chiyoda-ku, =office@jpcert.or.jp, o=japan Computer Emergency Response Team Coordination Center, cn=japan Computer Emergency Response Team Coordination Center 日付 : :49:36 +09'00'

2 CROUCHING YETI: サマリー主な標的 : 非エネルギー分野産業 / 機械製造製薬建設教育 IT 関連被害者数は世界各地で 2, の組織 38 ヶ国主にアメリカスペイン日本ドイツフランスイタリアトルコアイルランドポーランド中国に存在する組織主な被害は企業秘密などの機密情報の流出さまざまな分野を対象とした幅広い調査活動と定義することも妥当

3 CROUCHING YETI: サマリー複数の追加モジュールを使用した攻撃ゼロデイエクスプロイトは一切使わずインターネット上で簡単に入手可能なエクスプロイトのみ使用最も多く使用されたツールはトロイの木馬 Havex その亜種を合計 27 種類さらに複数の追加モジュールを発見産業用制御システムからのデータ収集を目的とするツールが2 種 OPC スキャナーモジュールとネットワークスキャンツールツールは UTC 時間の 6 時から 16 時の間にコンパイル西ヨーロッパと東ヨーロッパの各国がこの時間帯に合致 3

4 CROUCHING YETI: サマリー Bear ではなく Yeti 攻撃者の言語を分析した結果キリル語 ( またはキリル語の別言語への音訳 ) は一切認められませんでした Red October Miniduke Cosmicduke Snake TeamSpy の調査結果にはキリル語が含まれていたネイティブによって書かれたものではないと思われる英語でフランス語やスウェーデン語の使用を示す手がかりも見つかっている Energetic Bear は Crowd Strike 社がつけた名前同社はこの活動の拠点はロシアにあるとしておりその属性から Bear と命名弊社の調査ではロシア圏の証拠が見つかっていないためよりミステリアスな Yeti( イエティ : 雪男 ) と命名 4

5 5 雪男の足跡

6 YETI : TOP BEER IN COLORADO! * 6

7 被害者の内訳業種特定被害台数教育 32 2,811 の被害者のうち 101 社の属性精密射出成形関連メーカー医薬品卸し建設会社ウェブデザインコンテンツ開発会社大学大手機械メーカー医薬品自動車印刷業向け機械メーカー建設機械エネルギーシステム卸し IT 製品サービス販売代理店電機電子 IT 製品卸しデータセンターシステムインテグレーター検査装置メーカー SCADAシステムメーカーなど調査研究 14 機械 10 情報処理 10 建設 9 政府自治体 8 健康医療 5 ネットワークインフラ 3 製薬 2 電機 2 包装 2 金融 2 エネルギー 2 清掃 1 自動車 1 土木 1 運輸 1 7 化学 1

8 最も使われた HAVEX 2,470 (2,811 中 ) 台に感染したバックドア多くが米国とスペインで確認された 8

9 最も使われた HAVEX 2012 年末にコンパイルされた Ver.024 がもっとも拡散した 9

10 最も使われた HAVEX 感染した OS の多くは Windows XP だったが Windows 8.1 の感染も確認された 10

11 HAVEX 進化の歴史 : 主な機能 Havex によってさまざまな機能をダウンロードして追加復号化と実行を行なう攻撃ツールを *.xmd ファイルに暗号化して格納各モジュールの構成情報はリソース内に bzip2 と xor により固定値を Base64 でハードコードして格納 29 バイトの UID 344 バイトの暗号鍵およびその他の情報を含む収集したデータ ( システムの情報 Sysinfo モジュールで収集 ) は *.yls ファイルに保存 Havex DLL によって C2 サーバーへ送信ログファイルは 3DES で暗号化され各モジュールには次の文字列が含まれている Copyright (c) J.S.A.Kapp (RSAEURO の暗号ライブラリーを使用している ) 11

12 HAVEX 進化の歴史 : 主な機能収集したシステム情報 Sysinfo モジュールで収集する Havex ホスト端末のシステム情報 Unique system ID OS バージョンユーザー名コンピューター名国言語 IP アドレスドライバーの一覧デフォルトブラウザー Proxy 設定ユーザーエージェントメールの名前 BIOS バージョンと日付デスクトップマイドキュメントとプログラムフォルダーおよびすべてのドライブのルートディレクトリ上のファイルとフォルダーの一覧 12

13 HAVEX 進化の歴史 : 主な機能コンタクトスティーラーモジュール Outlookの連絡先情報を収集 outlook.nk2 ファイルを %TEMP% {rand}.yls ファイルに書き出す (Outlook 2007 以降が対象 ) パスワードスティーラーモジュールブラウザーのパスワードマネージャーが管理するログイン時のクレデンシャルをダンプ BrowserPasswordDecryptor 2.0 ツールを利用 *securityxploded.com/browser-password-decryptor.php * 対象 ;FireFox, Google Chrome, CoolNovo, Opera Browser, Apple Safari などネットワークスキャナーモジュール OPC/SCADAソフトウェアをスキャン一覧は後述 13

HAVEX 進化の歴史 : バージョンアップ 50 を超える派生バージョンが確認されているがそのうち作成日が確認できている 01 から 44 までの特徴は以下の通りバージョン特徴 01-19 パスワードの収集を別途ダウンロードしたモジュールを利用して実施 17-37 GET 要求を送る代わりに POST 要求を C2 に送信 1A-38 レジストリからプロクシーの設定を読取り

14 HAVEX 進化の歴史 : バージョンアップ 50 を超える派生バージョンが確認されているがそのうち作成日が確認できている 01 から 44 までの特徴は以下の通りバージョン特徴パスワードの収集を別途ダウンロードしたモジュールを利用して実施 GET 要求を送る代わりに POST 要求を C2 に送信 1A-38 レジストリからプロクシーの設定を読取り必要に応じて利用する 1B-44 非対象暗号アルゴリズム (RSA) を使ってダウンロードしたモジュールを復号化 ( 以前のバージョンは Base64(XOR) で暗号化 ) Google.com に接続を試みてインターネット接続の有無を確認システム情報を *.yls ファイルに書き出し 25 Phalanx と呼ばれたと思われるプロジェクト用にデバッグシンボルを追加システム情報を取り込むための *.yls ファイル処理がハードコードされた TMPprovider0XX.dll の名前を 0xx.dll に変更 14

15 OPC って何? 1990 年代に Mcirosoft の COM/DCOM をベースに開発が始まった産業オートメーション分野などおける安全で信頼できるデータ交換を目的としたプラットフォーム非依存でマルチベンダー間での相互運用を行うための標準規格初期の規格は OPC Classic と呼ばれ Yeti の攻撃対象となった次世代規格である OPC UA (Unified Architecture) がすでに存在するが移行は進んでいない OPC Foundation が保守ボードメンバー (*2014):ICONICS Siemens AG Honeywell Process Solutinos Yokogawa Rockwell Automation Emerson Process Management 15

OPC のネットワーク構成例 PLC などの制御装置と上流のシステムとの間で利用する

http://www05.abb.com/global/scot/scot209.

16 OPC のネットワーク構成例 PLC などの制御装置と上流のシステムとの間で利用する *ABB;MNSiS interface manual opc server 2c1257c9b0027a55c/$file/1tgc910231m0203%20mnsis%20interface%20manu al%20opc%20server%207.3.pdf 16

17 OPC のネットワーク構成例システム管理保守情報提供システム間連携 IT 機器の諸種管理環境の統合各機能を提供する基盤の定義 IT インフラ管理経営ダッシュボード管理ダッシュボード ERP システム PLM システムデータ格納クラウド / オンプレミスに依存しないシームレスなアクセス MES システム監視伝送データ定義標準的なプロトコルモデリングでの接続基盤提供 WCF Data Services FunctionBlock ソリューション対応の標準機能標準規格 (OPC-UA) への対応コントローラー *Microsoft; SCF 2011 提案内容 17

18 OPC CLASSIC 三つの仕様によって構成されている OPC Data Access (OPC DA) 値タイムスタンプ品質情報などのデータ交換の仕様 OPC Alarm & Events (OPC AE) 状態の値と管理同様にアラームとイベントタイプのメッセージ交換の仕様 OPC Historical Data Access (OPC HDA) 履歴データタイムスタンプ付きデータの問い合わせおよび分析機能のための仕様主な課題プラットフォーム (Windows OSとCOM/DCOM) 依存セキュリティ仕様とアーキテクチャーの複雑性拡張性が低い 18

19 OPC UA(UNIFIED ARCHITECTURE) OPC Classic の課題を解決するため 2004 年から開発が始まり 2008 年に最初の実装が公開 2011 年には IEC に採択セキュリティのための拡張が組み込まれる監査 (Auditing) ユーザーアクセス制御 (User Access) ユーザーアプリケーション認証 (User/Application Validation) 暗号化 (Encryption) デフォルトで有効署名 (Signing) デフォルトで有効参照 : 19

20 HAVEX は OPC サーバーを探し出して情報を収集 2014 年 4 月 11 日にコンパイルされている ( その後 5 月 16 日にも ) OPC/SCADA ソフトウェア関連のポートをスキャンポート番号アプリケーション Rslinx 502 Modbus 102 Siemens PLC Measuresoft ScadaPro Technologies IGSS SCADA 20

21 効果的な侵入シナリオ正規のソフトウェアインストーラーによってマルウェアをダウンロードさせる産業用機器のデバイスドライバーや関連ソフトウェアにマルウェアのドライバーを組み込む感染したインストーラーの配布元 : ewon( ベルギー ) MB( ドイツ ) Acroname( 米国 ) 21

22 効果的な侵入シナリオ悪意ある XDP ファイルによるスピアフィッシング攻撃 CVE を悪用 (2011 年に香港の民主党のウェブサーバーでスパイウェアの感染目的で利用されていた ) 悪意ある JAR/Html ファイルによる水飲み場型攻撃 CVE / CVE / CVE / CVE / CVE Java エクスプロイト ( 多くの利用例あり ) CVE Adobe Reader エクスプロイト ( 多くの利用例あり ) / CVE IBM Java SDK エクスプロイト (NetTraveler の水飲み場攻撃で利用されていた ) CVE Java エクスプロイト (Metasploit からの転用 ) CVE / CVE Internet Explorer エクスプロイト (Metasploit からの転用 ) CVE Firefox エクスプロイト (Metasploit からの転用 ) 22

23 効果的な侵入シナリオ : 感染サイト特徴 Gse.com.ge Gamyba.le.lt utilico.co.uk yell.ge chariotoilandgas.co m longreachoilandgas.com strainstall.com グルジア ( ジョージア ) の電力システム会社リトアニア最大の電力会社英国のユーティリティー投資会社グルジア ( ジョージア ) のタウンページナミビアモーリタニアの石油ガス探査会社 PETROMAROC モロッコの石油会社に買収された (2014/July) 英国の測量会社 jfaerospace.com 英国の航空機製造組み立て会社 (strainstall 社と兄弟会社 ) vitogaz.com bsicomputer.com energyplatform.eu firstenergy.com rare.fr フランスのガス会社米国の産業用コンピューターシステム開発会社フランスの再生可能エネルギー産業プラットフォームの研究組織カナダのエネルギー分野の投資銀行フランスの環境関連の庁組織 23

24 効果的な侵入シナリオ : ちょっと違う感染サイト used.samashmusic.com sbmania.net 米国の中古楽器販売サイト特徴米国のスポンジボブのファンサイト 24

25 まとめ Metasploit や既存の攻撃手法の有効に利用 LightsOut エクスプロイトキットの利用は 2014 年 6 月の期間限定業種は特定しないが特に OPC/SCADA データを収集巧みな攻撃シナリオによる戦略の成功

26 26 ご清聴ありがとうございました

Internet of things におけるセキュリティー

Internet of things におけるセキュリティー IOT のセキュリティー株式会社カスペルスキービジネスデベロップメントマネージャー松岡正人 KASPERSKY LAB ZAO ミッション We are here to save the world from IT threats 評価世界最高水準の評価を得るアンチウィルスベンダー実績 80 社以上への OEM 提供の実績ユーザーは全世界で 3 億人超企業官公庁公共教育機関が幅広く支持